Par défaut, la page Créer un analyseur s'ouvre en mode Guidé. Poursuivez dans ce mode si vous voulez que Logging Analytics génère l'expression régulière pour analyser les journaux après avoir sélectionné les champs. Pour le mode guidé, reportez-vous à Vidéo : utilisation du générateur d'analyseur RegEx. Si vous souhaitez écrire une expression régulière pour l'analyse, passez en mode Avancé et suivez les étapes suivantes :

1. Dans le champ Nom, entrez le nom de l'analyseur. Par exemple, entrez Custom Audit Logs.

2. Vous pouvez éventuellement ajouter une description appropriée de l'analyseur pour faciliter l'identification.

3. Dans le champ Exemple de contenu du journal, collez le contenu d'un fichier journal que vous voulez analyser, par exemple :

   Jun 20 2020 15:19:29 hostabc rpc.gssd: ERROR: can't open clnt5aa9: No such file or directory
   Jul 29 2020 11:26:28 hostabc kernel: FS-Cache: Loaded
   Jul 29 2020 11:26:28 hostxyz kernel: FS-Cache: Netfs 'nfs' registered for caching
   Aug 8 2020 03:20:01 slc08uvu rsyslogd-2068: could not load module '/lib64/rsyslog/lmnsd_gtls.so', rsyslog error -2078
   [try http://www.rsyslog.com/e/2068 ]
   Aug 8 2020 03:20:36 0064:ff9b:0000:0000:0000:0000:1234:5678 rsyslogd-2066: could not load module '/lib64/rsyslog/lmnsd_gtls.so', dlopen: /lib64/rsyslog/lmnsd_gtls.so: cannot open shared object file: Too many open files
   [try http://www.rsyslog.com/e/2066 ]
   Sep 13 2020 03:36:06 hostnam sendmail: uAD3a6o5009542: from=root, size=263, class=0, nrcpts=1, msgid=<201611130336.uAD3a6o5009542@hostname.example.com>, relay=root@localhost
   Sep 13 2020 03:36:06 hostnam sendmail: uAD3a6o5009542: to=root, ctladdr=root (0/0), delay=00:00:00, xdelay=00:00:00, mailer=relay, pri=30263, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (uAD3a6KW009543 Message accepted for delivery)
   Sep 20 2020 08:11:03 hostnam sendmail: STARTTLS=client, relay=userv0022.example.com, version=TLSv1/SSLv3, verify=FAIL, cipher=DHE-RSA-AES256-GCM-SHA384, bits=256/256]]>

   Il s'agit d'une entrée de journal multiligne car les entrées 4 et 5 couvrent plusieurs lignes.

4. Dans le champ Expression régulière d'analyse, entrez l'expression régulière permettant d'analyser les champs. Chaque paire de parenthèses indique la clause d'expression régulière à extraire vers un seul champ.

   L'expression d'analyse est unique pour chaque type de journal et dépend du format des entrées de journal réelles. Dans cet exemple, entrez ce qui suit :

   (\w+)\s+(\d+)\s+(\d+)\s+(\d+):(\d+):(\d+)\s+([^\s]+)\s+([^:]+):\s+(.*)

   Remarque
   
   

   • N'incluez pas d'espace avant ou après le contenu.

   • L'expression régulière doit correspondre au texte complet de l'enregistrement de journal.

   • Si vous incluez des caractères masqués dans votre expression d'analyse, l'interface Créer un analyseur génère un message d'avertissement :

     L'expression d'analyseur contient des caractères de contrôle masqués.

     Pour désactiver cette réponse par défaut, désélectionnez la case Afficher les caractères de contrôle masqués lorsque le message d'erreur s'affiche.

   Pour en savoir plus sur la création d'expressions d'analyse, reportez-vous à Exemples d'expression d'analyse.

5. Sélectionnez l'étendue d'enregistrement de journal appropriée.

   L'entrée de journal peut figurer sur une seule ligne ou sur plusieurs lignes. Si vous avez choisi une étendue de plusieurs lignes, entrez l'expression de début de l'enregistrement de journal.

   Vous devez définir l'expression régulière comme la règle minimale requise pour identifier le début d'une nouvelle entrée de journal. Dans l'exemple, l'expression de début peut être la suivante :

   (\w+)\s+(\d+)\s+(\d+)\s+

   Elle indique qu'une nouvelle entrée de journal débute chaque fois qu'une nouvelle ligne commence par le texte correspondant à cette expression de début d'entrée.

   Vous pouvez également fournir l'expression de fin. Utilisez Expression de fin pour indiquer la fin de l'enregistrement de journal. Lorsqu'un enregistrement de journal est écrit dans le fichier sur une longue période et que vous voulez vous assurer que l'intégralité de l'entrée de journal soit collectée, vous devez utiliser l'expression régulière de fin. L'agent attend que le modèle d'expression régulière de fin soit détecté pour collecter l'enregistrement de journal. Les mêmes règles de format s'appliquent à l'expression de fin qu'à l'expression de début d'entrée.

   Si nécessaire, cochez la case Gérer l'intégralité du fichier comme une entrée de journal unique. Cette option permet d'analyser et de stocker un fichier journal complet sous la forme d'une entrée de journal unique. Cela est particulièrement utile lors de l'analyse de sources de journal telles que les journaux de vidage Java Hotspot, la liste des RPM des journaux de packages, etc. Si l'entrée de journal contient une grande quantité de texte qui doit pouvoir faire l'objet de recherches, vous pouvez envisager de cocher la case Activer la recherche de texte brut sur ce contenu. Cette option permet d'effectuer des recherches sur les enregistrements de journal avec le champ Texte brut. Lorsque cette option est activée, vous pouvez afficher le contenu de journal d'origine avec le texte brut.

6. Dans l'onglet Champs, sélectionnez le champ approprié pour stocker chaque valeur capturée par l'expression régulière.

   Pour créer un champ, cliquez sur l'icône . La boîte de dialogue Créer un champ défini par l'utilisateur apparaît. Entrez les valeurs Nom, Type de données, Description et cochez la case Champ multivaleur si elle est applicable à vos journaux. Pour plus d'informations sur les valeurs à saisir, reportez-vous à Création d'un champ. Pour enlever le champ sélectionné sur la ligne, cliquez sur l'icône .

   Pour chaque valeur capturée, sélectionnez le champ dans lequel stocker les données. Le premier champ capturé dans l'exemple peut être entré comme suit :

   • Nom de champ : Mois (nom abrégé)

   • Type de données de champ : STRING

   • Description de champ : Composant Mois de l'heure d'entrée de journal sous forme de nom abrégé, par exemple, Jan

   • Expression de champ : (\w{3})

   Dans l'exemple de journal ci-dessus, vous pourriez mettre en correspondance les champs dans l'ordre suivant :

   1. Mois (nom abrégé)
   2. Jour
   3. Année (4 chiffres)
   4. Nom d'hôte (serveur)
   5. Service
   6. Message

7. Dans l'onglet Fonctions, cliquez sur Ajouter une fonction pour ajouter éventuellement une fonction afin de prétraiter les entrées de journal. Reportez-vous à Prétraitement des entrées de journal.

8. Cliquez sur l'onglet Test d'analyseur pour voir comment le nouvel analyseur extrait les valeurs du contenu de journal.

   Vous pouvez afficher les entrées de journal de l'exemple de contenu que vous avez fourni précédemment. Utilisez cette étape pour déterminer si l'analyseur que vous avez défini fonctionne correctement.

   En cas d'échec de l'expression régulière pour une entrée de journal, le statut de correspondance indique la partie de l'expression qui a fonctionné en vert et la partie qui a échoué en rouge. Vous pouvez ainsi identifier la partie de l'expression régulière à corriger.

   Vous pouvez afficher la liste des événements ayant échoué au test d'analyseur, ainsi que les détails de l'échec. Vous pouvez également visualiser le nombre d'étapes, ce qui peut vous donner un aperçu de l'impact de l'expression régulière. Idéalement, cette valeur doit être aussi faible que possible. Tout nombre inférieur à 1 000 peut être acceptable, mais une expression régulière plus demandeuse est parfois nécessaire. Si l'expression régulière implique trop d'étapes, elle peut entraîner une utilisation plus importante de l'UC sur l'hôte d'agent et un traitement plus lent des journaux. Cela retarde la disponibilité des entrées de journal dans l'explorateur de journaux. Dans les cas extrêmes où l'expression régulière est trop exigeante, nous ignorons l'analyse de l'entrée de journal et de toutes les autres entrées collectées au cours de la même période.

Cliquez sur Enregistrer pour enregistrer l'analyseur que vous venez de créer.

Pour abandonner la création de l'analyseur, cliquez sur Annuler. Lorsque vous cliquez sur Annuler, vous perdez toutes les opérations de création de l'analyseur de type Expression régulière déjà effectuées.

Voir la rubrique supplémentaire : Gestion de plusieurs formes JSON dans un analyseur JSON unique

Pour créer un analyseur JSON, procédez comme suit :

1. Dans le champ Analyseur, entrez le nom de l'analyseur. Par exemple, entrez Custom API Log.

2. Sélectionnez le type d'analyseur JSON.

3. Vous pouvez éventuellement ajouter une description appropriée de l'analyseur pour faciliter l'identification.

4. Dans le champ Exemple de contenu du journal, collez le contenu d'un fichier journal que vous voulez analyser, par exemple :

   {
     "name": "helloapi",
     "hostname": "banana.local",
     "pid": 40442,
     "level": 30,
     "req": {
       "method": "GET",
   	"url": "/hello?name=paul",
   	"headers": {
   	  "user-agent": "curl/7.19.7 (universal-apple-darwin10.0) libcurl/7.19.7 OpenSSL/0.9.8r zlib/1/2/3",
   	  "host": "0.0.0.0:8080",
   	  "accept": "*/*"
   	},
   	"remoteAddress": "127.0.0.1",
   	"remotePort": 59834
     },
     "msg": "start",
     "time": "2012-03-28T17:39:44.880Z",
     "v": 0
   }

   Sur la base de l'exemple de contenu de journal, les champs sont identifiés et affichés dans l'onglet Champs, comme dans l'exemple suivant :

   
   
   
   
   
5. Dans l'onglet Champs, pour le chemin JSON concerné, sélectionnez le nom du champ dans les champs définis disponibles.

   Pour créer un champ, cliquez sur l'icône . La boîte de dialogue Créer un champ défini par l'utilisateur apparaît. Entrez les valeurs Nom, Type de données, Description et cochez la case Champ multivaleur si elle est applicable à vos journaux. Pour plus d'informations sur les valeurs à saisir, reportez-vous à Création d'un champ. Pour enlever le champ sélectionné sur la ligne, cliquez sur l'icône .

   Le chemin racine par défaut sélectionné est $. Pour modifier le chemin racine JSON, développez la section Options avancées et sélectionnez Chemin JSON d'entrée de journal.

6. Dans l'onglet Fonctions, cliquez sur Ajouter une fonction pour ajouter une fonction afin de prétraiter les entrées de journal à l'aide de la fonction d'analyseur d'en-tête. Reportez-vous à Prétraitement des entrées de journal.
7. Une fois les champs sélectionnés, accédez à l'onglet Test d'analyseur pour visualiser le statut de correspondance et les champs identifiés dans l'exemple de contenu de journal.
8. Cliquez sur Enregistrer pour enregistrer l'analyseur que vous venez de créer.

Pour abandonner la création d'un analyseur de type JSON et passer à la création d'un analyseur de type Expression régulière, sous Type, sélectionnez Expression régulière.

1. Dans le champ Analyseur, entrez le nom de l'analyseur. Par exemple, entrez Custom Database Audit Log.

2. Sélectionnez le type d'analyseur XML.

3. Vous pouvez éventuellement ajouter une description appropriée de l'analyseur pour faciliter l'identification.

4. Dans le champ Exemple de contenu du journal, collez le contenu d'un fichier journal que vous voulez analyser, par exemple : ExampleA :

   <AuditRecord><Audit_Type>1</Audit_Type><Session_ld>201073</Session_ld><Statementid>13</Statementid><Entryld>6</Entryld>
   <Extended_Timestamp>2016-09-09T01:26:07.832814Z</Extended_Timestamp><DB_User>SYSTEM</DB_User><OS_User>UserA</OS_User><Userhost>host1</Userhost>
   <OS_Process>25839</OS_Process><Terminal>pts/4</Terminal><Instance_Number>0</Instance_Number><Object_Schema>HR</Object_Schema>
   <Object_Name>EMPLOYEES</Object_Name><Action>17</Action>
   <Returncode>0</Returncode><Sen>§703187</Sen><AuthPrivileges>--------¥-----</AuthPrivileges>
   <Grantee>SUMON</Grantee>
   <Priv_Used>244</Priv_Used><DBID>2791516383</DBID><Sql_Text>GRANT SELECT ON hr.employees TO sumon</Sql_Text></AuditRecord>

   Sur la base de l'exemple de contenu de journal, Oracle Logging Analytics identifie automatiquement la liste des éléments XML qui représentent les enregistrements de journal.

5. Si vous le souhaitez, activez la case à cocher Ignorer l'espace de noms pour ignorer l'espace de noms dans le chemin XML.

6. Si vous le souhaitez, activez la case à cocher Activer la connaissance positionnelle pour détecter plusieurs valeurs d'un élément sous un chemin XML, comme dans le cas d'un tableau d'éléments. Par exemple, pour l'exemple de contenu de journal suivant, ExampleB :

   <ListOfTrackingFields>
       <TrackingField>
           <Name>NameA</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameB</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameC</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameD</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameE</Name>
       </TrackingField>
   </ListOfTrackingFields>

   Si la connaissance positionnelle n'est pas activée, vous serez limité au chemin XML /ListOfTrackingFields/TrackingField/Name, qui détectera uniquement la première valeur de Name. Si vous activez la connaissance de position, les 5 valeurs suivantes de Name sous l'élément TrackingField sont détectées : NameA, NameB, NameC, NameD, NameE, si tous les chemins XML correspondants sont configurés.

7. Dans le menu Chemin XML d'entrée de journal, sélectionnez l'élément XML pertinent pour les enregistrements de journal qui vous intéressent. Pour l'exemple de contenu de journal ExampleA ci-dessus, sélectionnez /AuditRecord.

   Selon le chemin XML sélectionné, les champs sont identifiés et affichés dans l'onglet Champs. Dans l'exemple de contenu de journal ci-dessus, les éléments en gras sont qualifiés en tant que champs. Pour l'exemple de chemin XML /AuditRecord, le chemin XML du champ est /AuditRecord/<élément_gras>, par exemple, /AuditRecord/Audit_Type.

8. Dans l'onglet Champs, pour le chemin XML concerné, sélectionnez le nom du champ dans les champs définis disponibles.

   Pour créer un champ, cliquez sur l'icône . La boîte de dialogue Créer un champ défini par l'utilisateur apparaît. Entrez les valeurs Nom, Type de données, Description et cochez la case Champ multivaleur si elle est applicable à vos journaux. Pour plus d'informations sur les valeurs à saisir, reportez-vous à Création d'un champ. Pour enlever le champ sélectionné sur la ligne, cliquez sur l'icône .

9. Une fois les champs sélectionnés, accédez à l'onglet Test d'analyseur pour visualiser le statut de correspondance.

   
   
   
   
   

10. Cliquez sur Enregistrer pour enregistrer l'analyseur que vous venez de créer.

Pour abandonner la création d'un analyseur de type XML et passer à la création d'un analyseur de type Expression régulière, sous Type, sélectionnez Expression régulière.

1. Entrez le nom de l'analyseur. Par exemple, entrez Comma Separated Custom App Log.

2. Vous pouvez éventuellement ajouter une description appropriée de l'analyseur pour faciliter l'identification.

3. Sélectionnez le type d'analyseur Délimité.

4. Sous Délimiteur, sélectionnez le type de délimiteur utilisé dans les journaux pour séparer les champs, par exemple, virgule, point-virgule, espace ou onglet. Si elle est différente des options répertoriées, sélectionnez Autre et indiquez votre caractère de délimitation dans l'espace fourni.

   Exemple de contenu de journal :

   helloapi,"host,local", 65427, 29, start, 2021-08-28T17:39:44.880Z

   Dans l'exemple ci-dessus, la virgule (,) est le délimiteur.

   Assurez-vous que le caractère de délimiteur que vous indiquez est différent du qualificatif que vous sélectionnez ensuite.

5. Vous pouvez éventuellement sélectionner le qualificateur utilisé pour encapsuler le texte d'un champ dans vos journaux. Sélectionnez Devis double ou Devis unique.

   Le qualificatif de texte est utilisé lorsque les délimiteurs sont contenus dans les données de champ. Prenons un scénario dans lequel field1 a la valeur host,local qui contient un délimiteur (,) et aucun qualificatif de texte n'est utilisé. Ensuite, les données qui se produisent après le délimiteur (local) seront considérées comme la valeur du champ suivant.

   Dans l'exemple de contenu de journal de l'étape précédente, les guillemets doubles (") sont le qualificatif.

   Remarque
   
   Pour les valeurs des champs de la chaîne de type de données, le caractère espace avant et après le qualificatif est également considéré comme faisant partie de la chaîne. Assurez-vous que le qualificatif est placé juste en regard du délimiteur afin que la valeur de chaîne corresponde. Par exemple, dans ,"host,local",, l'espace après le premier délimiteur est supprimé. En outre, le caractère espace précédant le dernier séparateur est supprimé. Par conséquent, la valeur effective du champ de chaîne correspondant est host,local, comme le montre le résultat du test d'analyseur ultérieurement.

6. Si vous le souhaitez, sous En-tête, collez la ligne d'en-tête de votre journal qui peut ensuite être mise en correspondance avec la colonne d'en-tête dans l'onglet Champs. Exemple :

   name, hostname, pid, level, msg, time

   Lorsque vous spécifiez un en-tête, toutes les lignes de journal des journaux réels qui correspondent exactement à l'en-tête sont filtrées.

7. Dans le champ Exemple de contenu du journal, collez le contenu d'un fichier journal que vous voulez analyser, par exemple :

   helloapi,"host,local", 65427, 29, start, 2021-08-28T17:39:44.880Z

   Sur la base de l'exemple de contenu de journal, les champs sont identifiés et affichés dans l'onglet Champs, comme dans l'exemple suivant :

8. Dans l'onglet Champs, pour la colonne d'en-tête, sélectionnez le nom du champ dans les champs définis disponibles. Toutefois, vous ne pouvez mapper que vos colonnes d'en-tête préférées de manière sélective, et il n'est pas nécessaire de mapper un champ pour chaque colonne d'en-tête.
   
   
   
   

   Pour créer un champ, cliquez sur l'icône . La boîte de dialogue Créer un champ défini par l'utilisateur apparaît. Entrez les valeurs Nom, Type de données, Description et cochez la case Champ multivaleur si elle est applicable à vos journaux. Pour plus d'informations sur les valeurs à saisir, reportez-vous à Création d'un champ. Pour enlever le champ sélectionné sur la ligne, cliquez sur l'icône .

9. Une fois les champs sélectionnés, accédez à l'onglet Test d'analyseur pour visualiser le statut de correspondance et les champs identifiés dans l'exemple de contenu de journal.
   
   
   
   
10. Cliquez sur Créer un analyseur pour enregistrer l'analyseur que vous venez de créer.

Pour abandonner la création d'un analyseur de type Délimité et passer à la création d'un autre type d'analyseur, sélectionnez-le sous Type.

Si votre contenu de journal d'origine est encapsulé avec des informations supplémentaires, vous pouvez mettre en correspondance le champ de base contenant le contenu de journal d'origine avec un analyseur et extraire les champs de cet enregistrement de journal d'origine.

Considérons que votre contenu de journal d'origine est comme indiqué ci-dessous :

####<Feb 01, 2021 10:28:27 AM PST> <Info> <Diagnostics> <soaapps.example.com> <excstg_soa> <[ACTIVE] ExecuteThread: '34' for queue: 'weblogic.kernel.Default (self-tuning)'> <<WLS Kernel>> <> <kernel_version> <123456> <[severity-value:64] [rid: 0] [partition-id: 0] [partition-name: DOMAIN] > <BEA-320145> <Size based data retirement operation completed on archive HarvestedDataArchive. Retired 9,720 records in 11,242 ms.>

Lorsque le même contenu de journal est d'abord envoyé à OCI Logging, puis via Connector Hub envoyé à Oracle Logging Analytics, un wrapper JSON est ajouté au contenu de journal d'origine. Par exemple,

{
  "data": {
    "Labels": "LogPath:/u01/APPLTOP/instance/wlslogs/FADomain/servers/ServiceServer_1/logs/ServiceServer_1.log;ServiceName:Host;ServiceType:Oracle_Host;LogSet:TEST_POD;HostName:examplehost.oraclecloud.com;IP:192.0.2.1;WLS:NA;Domain:NA;AppName:myApp;Customer:CompanyA, (U.S.) Corp;CustomerType:NonHypercare;PODType:TEST;PODSize:S0;DC:CDC;Version:11.13.20.10.0;",
    "action": "ACTION",
    "msg": "####<Feb 01, 2021 10:28:27 AM PST> <Info> <Diagnostics> <soaapps.example.com> <excstg_soa> <[ACTIVE] ExecuteThread: '34' for queue: 'weblogic.kernel.Default (self-tuning)'> <<WLS Kernel>> <> <kernel_version> <123456> <[severity-value:64] [rid: 0] [partition-id: 0] [partition-name: DOMAIN] > <BEA-320145> <Size based data retirement operation completed on archive HarvestedDataArchive. Retired 9,720 records in 11,242 ms.>"
  },
  "id": "123123123",
  "oracle": {
    "compartmentid": "ocid1.compartment.oc1..aaaaaaaauniqueID",
    "ingestedtime": "2021-02-01T18:32:49.204Z",
    "loggroupid": "ocid1.loggroup.oc1.iad.amaaaaaauniqueID",
    "logid": "ocid1.log.oc1.iad.amaaaaaayuniqueID",
    "tenantid": "ocid1.tenancy.oc1..aaaaaaaaetuniqueID"
  },
  "source": "FA-APPS",
  "specversion": "1.0",
  "time": "2021-02-01T11:48:43.091Z",
  "type": "FA Unified Apps Logs"
}

Dans l'exemple ci-dessus, le contenu du journal d'origine est présent dans le champ de base $.data.msg.

Notez que dans l'exemple présenté, le contenu du journal comporte un wrapper JSON. Toutefois, vous pouvez suivre ces étapes même si le contenu et les wrappers de votre journal d'origine sont dans n'importe quel format d'analyseur pris en charge et que les journaux sont ingérés dans n'importe quelle méthode prise en charge.

Pour extraire les champs du contenu du journal d'origine, procédez comme suit :

1. En fonction du type de contenu de journal d'origine, identifiez ou créez un analyseur pour extraire les champs pertinents du contenu de journal d'origine. Reportez-vous à Création d'un analyseur.

   Cet analyseur sera utilisé en tant qu'analyseur mis en correspondance dans l'analyseur de wrapper que vous allez créer ensuite.

2. En fonction du type de contenu de wrapper, créez l'analyseur correspondant en suivant les étapes décrites dans Création d'un analyseur.

   Cet analyseur sera appelé analyseur de wrapper dans les étapes suivantes.

3. Pour l'analyseur de wrapper, indiquez un exemple de contenu de journal contenant un wrapper sur le contenu de journal d'origine.

   En cas d'analyseur JSON, le chemin racine par défaut sélectionné est $. Pour modifier le chemin racine JSON, développez la section Options avancées et sélectionnez Chemin JSON d'entrée de journal.

4. Dans l'onglet Champs, correspondant au champ de base contenant votre contenu de journal d'origine, cliquez sur le menu Actions et sélectionnez Mettre en correspondance des champs via un analyseur. La boîte de dialogue dans laquelle vous pouvez sélectionner l'analyseur s'ouvre.

   Dans l'exemple ci-dessus, la ligne pour laquelle un analyseur mis en correspondance doit être ajouté est $.data.msg.

   Dans un analyseur de wrapper, vous ne pouvez mettre en correspondance qu'un seul champ de base avec un analyseur mis en correspondance.

5. Dans la boîte de dialogue Mettre en correspondance les champs via un analyseur, sélectionnez l'analyseur à l'aide duquel les champs du champ de base doivent être extraits.

   Vous pouvez éventuellement sélectionner l'une des actions Base64 decode and unzip ou Base64 decode à effectuer sur le champ :

   • Base64 décoder et décompresser : sélectionnez cette option si le champ de base est un fichier ZIP encodé en Base64. Le champ de base est ensuite décodé et décompressé avant que l'analyseur mappé ne soit appliqué. Le champ de base étant un fichier ZIP encodé, l'application de l'analyseur mappé permet d'identifier un ou plusieurs enregistrements de journal. Ces enregistrements de journal sont affichés en tant que contenu du journal d'origine dans l'explorateur de journaux. Toutefois, le contenu du journal du wrapper n'est pas affiché. Si l'analyseur de wrapper contient des mappages de champs, ces champs sont également affichés.

     Cette action ne peut être effectuée que sur les journaux collectés à l'aide de l'agent OMA.

   • Base64 décoder : sélectionnez cette option si le champ de base est encodé en Base64 dans le contenu du journal d'origine. Le champ de base est décodé avant l'application de l'analyseur mappé. En outre,
     • Utilisez l'option Enregistrer dans un champ pour enregistrer la chaîne décodée dans un champ.
     • Si vous souhaitez enregistrer la valeur de champ de base décodée en tant que Contenu du journal d'origine afin qu'elle soit affichée en tant qu'enregistrement de journal dans l'explorateur de journaux, sélectionnez l'option Remplacer le contenu du journal d'origine. Si cette option est sélectionnée, la valeur du champ de base décodée est enregistrée dans le champ Contenu du journal d'origine et le contenu du journal wrapper est enregistré dans le champ Texte brut.

   Cliquez sur Mettre en correspondance les champs. L'onglet Champs indique désormais que le champ de base est mis en correspondance avec l'analyseur mis en correspondance sélectionné et que la liste des champs est extraite.

   Il est possible qu'un analyseur mis en correspondance soit également inclus dans l'analyseur mis en correspondance sélectionné. Oracle Logging Analytics prend en charge deux niveaux d'analyseurs mis en correspondance imbriqués. Par exemple, Wrapper-parser contient mapped-parser-1 contient mapped-parser-2.

6. Une fois les champs restants sélectionnés, dans l'onglet Test d'analyseur, exécutez le test d'analyseur pour vérifier le statut de correspondance et les champs sélectionnés dans l'exemple de contenu de journal.

Oracle Logging Analytics fournit les fonctions suivantes, permettant de prétraiter les entrées de journal et d'enrichir les entrées de journal obtenues :

• Fonction de détails d'en-tête

• Fonction de recherche et remplacement

• Fonction de décalage horaire

Pour prétraiter les entrées de journal lors de la création d'un analyseur, cliquez sur l'onglet Fonctions, puis sur le bouton Ajouter une fonction.

Dans la boîte de dialogue Ajouter une fonction qui apparaît, entrez le nom de la fonction, sélectionnez la fonction requise et indiquez les valeurs de champ appropriées.

Pour tester le résultat de l'application de la fonction sur l'exemple de contenu de journal, cliquez sur Tester. Un résultat comparatif apparaît pour vous aider à déterminer si les valeurs de champ sont correctes.