Ricerca query

Oracle Log Analytics consente di selezionare ed eseguire una ricerca utilizzata di recente. Quando si fa clic sul campo Cerca o si immette del testo nel campo Cerca, Oracle Log Analytics visualizza un elenco di ricerche utilizzate di recente. Ciò consente di accedere rapidamente ai comandi di ricerca utilizzati di recente. È possibile selezionare uno qualsiasi dei comandi elencati e fare clic su Esegui per eseguire il comando di ricerca selezionato.

L'interfaccia utente di Oracle Log Analytics consente di formulare la query di ricerca.

È possibile utilizzare i seguenti elementi dell'interfaccia utente per formulare la query di ricerca:

• Barra di ricerca: la query di ricerca viene visualizzata qui. È possibile modificare direttamente il testo in questo campo per perfezionare ulteriormente i risultati della ricerca.

  La barra di ricerca si ingrandisce o si riduce in base al numero di righe aggiunte alla query. Può avere un massimo di 21 linee e un minimo di 1 linea. Di seguito sono riportati alcuni dei collegamenti personalizzati disponibili.

  • Ctrl + i: indica ogni riga di testo presente nell'editor. Si noti che il carattere maiuscolo I apre il debugger.
  • Ctrl + Enter: esegue la query visualizzata nell'editor
  • Ctrl + Space: visualizza la lista di opzioni completate automaticamente in base alla posizione di cursore
  • Ctrl + Z: annulla l'ultima modifica
  • Ctrl + Y: ripete l'ultima modifica
  • Ctrl + D: elimina la riga corrente

  Nota: Non utilizzare la chiave SHIFT se non specificato.

  Posizionare il cursore tra le parentesi aperte o di chiusura per visualizzare l'elemento corrispondente evidenziato. Gli elementi che possono essere evidenziati sono ( ) e [ ].

  La barra di ricerca supporta due temi diversi, colore e scala di grigi. È possibile modificare i temi in modo dinamico modificando l'opzione nella finestra popup della Guida.

• Campo: il pannello Campo è suddiviso nelle seguenti sezioni:

  • Gli attributi Pinned consentono di filtrare i dati di log in base a:

    • Origini di log, ad esempio log di database, log di Oracle WebLogic Server e così via.

    • Entità di log, ovvero i nomi effettivi dei file di log.

    • Etichette, ovvero tag aggiunte alle voci di log quando le voci di log corrispondono a condizioni definite specifiche.

    • Caricare i nomi dei dati di log caricati su richiesta.

    Per impostazione predefinita, le entità e i dettagli della raccolta sono disponibili nel bucket bloccato del pannello Campi per il filtro. È possibile aggiungere campi aggiuntivi al bucket bloccato a seconda dell'uso. Una volta fissati, i campi vengono spostati nel bucket appuntato. È possibile sbloccare qualsiasi campo e rimuoverlo dal bucket bloccato e spostarlo di nuovo nel bucket Interessante o Altro.

  • In base alla ricerca e alle query, Oracle Log Analytics aggiunge automaticamente i campi al bucket Interessante per un riferimento rapido. È possibile appuntare un campo disponibile in Periodo fisso interessante. Il campo appuntato viene quindi spostato nel secchio appuntato.

  • È possibile fissare in memoria qualsiasi campo nel bucket Altro e spostarlo nel bucket bloccato. Se si utilizza un campo del bucket Altro nella ricerca o nella query, questo viene spostato nel bucket Interessante.

    Le opzioni selezionate vengono aggiunte automaticamente alla query nella barra Cerca.

• Visualizza: in questo riquadro è possibile selezionare la modalità di visualizzazione dei risultati della ricerca. Nel campo Raggruppa per è possibile decidere le metriche in base alle quali raggruppare i risultati.

• Salva: utilizzare questo pulsante per salvare la query di ricerca attualmente presente nel campo Cerca, da eseguire in un secondo momento.

• Apri: utilizzare questo pulsante per visualizzare le query di ricerca salvate in precedenza. È possibile eseguire queste query e ottenere i risultati correnti oppure utilizzare queste query per creare dashboard.

• Nuovo: utilizzare questo pulsante per avviare una nuova query di ricerca.

• Esporta: utilizzare questo pulsante per esportare il risultato della query di ricerca corrente in un file in formato Comma-seperated Values(CSV) o JavaScript Object Notation(JSON).

• Esegui: utilizzare questo pulsante per eseguire la query attualmente presente nel campo Cerca.

• Selettore tempo: utilizzare il selettore tempo per specificare il periodo di tempo.

• Riquadro di visualizzazione: i risultati della query di ricerca vengono visualizzati in questo riquadro. Le informazioni filtrate in questo riquadro vengono caricate quando viene eseguita la query nel campo Cerca. Facendo clic su un'area qualsiasi del grafico nel riquadro di visualizzazione, è possibile espandere la query di ricerca e aggiornarla.

Le query stringa possono includere parole chiave e frasi. Una parola chiave è una parola singola (ad esempio, database), mentre una frase si riferisce a più parole, racchiuse tra virgolette singole (‘ ‘) o doppie (“ “) (ad esempio, ‘database connection’). Se si specifica una parola chiave o una frase nella query, tutte le voci di log che contengono la parola chiave o la frase specificata vengono restituite dopo l'esecuzione della query.

La lingua di ricerca di Oracle Log Analytics supporta anche il mapping di pattern speciali. In altre parole, è possibile utilizzare caratteri jolly, ad esempio asterisco (*), punto interrogativo (?) e percentuale (%), per completare le parole chiave.

La tabella seguente elenca i caratteri jolly supportati e fornisce una breve descrizione di ciascuno di essi.

È possibile specificare più parole chiave. Ad esempio, database e connection. Vengono restituiti i log contenenti le parole database e connection (ma non necessariamente insieme). Tuttavia, queste parole non devono necessariamente verificarsi consecutivamente. Tuttavia, racchiudendo le parole tra virgolette e includendole nella stringa di query come una frase (‘database connection’, ad esempio), vengono restituiti solo i log contenenti la frase ‘database connection’. Per informazioni sull'uso di più parole chiave, vedere Usa espressioni booleane.

Quando si specifica una parola chiave o una frase, tenere presente quanto riportato di seguito.

• Per le parole chiave e le stringhe di frase non viene fatta distinzione tra maiuscole e minuscole.

• Le parole chiave non racchiuse tra virgolette devono contenere solo caratteri alfanumerici, caratteri di sottolineatura (_) e caratteri jolly (*, % e ?).

• Le ricerche con parole chiave in cui la sottostringa potrebbe essere interpretata come una direttiva separata dovrebbero essere specifiche tra virgolette. Ad esempio, per cercare la stringa and, è necessario immetterla tra virgolette singole (‘and’) per evitare che il sistema riprenda il suo significato booleano.

ORA-* AND message LIKE 'connection* error*'

ORA-* AND message LIKE IN ('tablesp*','connection* error*')

Gli operatori di confronto sono condizioni specificate per stabilire una relazione tra un campo e il relativo valore. I campi senza valori sono considerati nulli.

La tabella seguente elenca gli operatori di confronto supportati e fornisce una breve descrizione di ciascuno di essi.

Utilizzare questi operatori per trovare i log con campi con valori specifici. Ad esempio, specificare Severity=’ERROR’ per cercare nei log disponibili in cui il valore del campo Severity è ERROR. Analogamente, Severity!=NULL restituisce tutti i log in cui il valore del campo Severity non è nullo (in altre parole, dove è stata specificata la severità).

La funzione Oracle Log Analytics Search dispone delle funzionalità LIKE e REGEX, come da convenzioni standard. Le Espressioni booleane possono avere un valore true o false.

Nella tabella seguente sono elencate le espressioni booleane supportate, insieme a una breve descrizione di ciascuna.

Il linguaggio Oracle Log Analytics Search supporta la nidificazione di espressioni booleane all'interno di altre espressioni booleane. Ad esempio, si consideri la seguente query:

fatal ('order' OR host LIKE '*.oracle.com')

L'esecuzione di questa query restituisce tutti i log contenenti fatal e contenenti la parola chiave order oppure originati da un host il cui nome termina con .oracle.com.

È possibile utilizzare l'interfaccia utente di Oracle Log Analytics per formulare la query di ricerca.

Per impostazione predefinita, la query * | stats count by ‘log source’ è specificata nel campo Cerca.

In genere, l'intervallo di tempo selezionato in Esplora log non viene incluso nella stringa di query. È possibile specificare l'intervallo di tempo nella query utilizzando il modificatore ora assoluta o ora relativa nel comando search.

Alcuni esempi in cui è possibile specificare un intervallo di tempo nella query:

• Restituisce tutti i log degli errori ORA-600 trovati nelle ultime 24 ore:

  Message like 'ORA-600%' and time > dateRelative(24h)

• Restituisce il conteggio di log per la destinazione host myHost negli ultimi 90 giorni:

  'Host Name (Server)' = myHost and Time > dateRelative(90day) | stats count as 'Num Host Logs'

time between '2014-07-15T16:24:51.000Z' and '2014-07-17T18:14:16.000Z'

time between toDate('2014-07-12', 'yyyy-MM-dd') and toDate('2014-07-15', 'yyyy-MM-dd')

time between * AND dateRelative(12h)

time > dateRelative(12h)

time > dateRelative(30min, hour)

time < dateAdd(toDate('2014-07-22', 'yyyy-MM-dd'), day, -10)

time > dateSet(toDate('2015-08-10', 'yyyy-MM-dd'), year, 2010, month, 6)

'Upload Name' = idcs_dev8_dormant_upload and 'Last Login Date' < now()

time between daterelative(1d) and now()

time between '2015-06-15T00:00:00.000Z' and now()

Le subquery consentono alla query figlio di fornire un filtro dinamico alle query padre. Le subquery vengono valutate per prime e il risultato viene quindi utilizzato nella query padre.

• È possibile nidificare le subquery l'una all'altra, nonché una particolare query con più subquery allo stesso livello.
• Per impostazione predefinita, le subquery ereditano l'intervallo di tempo globale, ma è possibile sostituirlo utilizzando la sintassi time between T1 and T2, se necessario.
• Le subquery sono limitate per restituire solo le prime 2000 corrispondenze come input al relativo padre. Altri risultati vengono troncati.
• Hanno un timeout massimo di 30 secondi per il completamento.
• Tutti i campi restituiti da una subquery devono corrispondere ai campi della query padre per nome. In caso contrario, si verificherà un errore.
• È possibile utilizzare le subquery solo all'interno di un comando di ricerca.
• È possibile utilizzare tutti i comandi all'interno di una subquery ad eccezione di cluster, clustersplit, clustercompare, fieldsummary, delete, classify, highlight e highlightrows.

Esempi:

• Eseguire il grafico del traffico dalla lista di esclusione IP nel tempo:

  [searchlookup table=ip_blacklist | distinct ip | rename ip as 'host address'] | timestats count

• Elencare i prodotti più acquistati per i primi utenti di un sito di e-commerce:

  'Log Source'='WLS Access Logs' status=200 action=purchase ['Log Source'='WLS Access Logs' status=200 action=purchase | stats count by 'Host (Client Address)' | top limit=1 'Host(Client Address)' | fields -*, 'Host (Client Address)'] | lookup table=products select 'product name' using productid | stats count, distinctcount(productId), unique('product name') by 'Host (Client Address)'

• Trova i primi 4 ID processo del sistema operativo con la somma più alta:

  [ *|stats sum('OS Process ID') as OSprocessidSum by 'OS Process ID' | top 4 OSprocessidSum | fields -OSprocessidSum ] | stats count by 'OS Process ID', 'Log Source', 'Host Name(Server)'

• Visualizzare tutti i log della destinazione con i log di severità più irreversibili:

  * and [ Severity = fatal | stats count by Target | top limit = 1 Count | fields -Count]

Nelle query di ricerca è possibile utilizzare le funzioni riportate di seguito.

Altri esempi per anyof() e allof():

• Corrisponde ai log che contengono una qualsiasi di queste parole adm, logoff o user:

  anyof(adm, logoff, user)

• Corrisponde ai log che contengono tutte queste parole adm, logoff o user:

  allof(adm, logoff, user)

• Corrisponde ai log che NON hanno una delle parole oracle o active e che hanno un valore non nullo per il campo severity.

  severity != null not anyof(oracle, active)

• Corrisponde ai log che NON contengono entrambe le parole oracle o active e che hanno un valore non nullo per il campo severity.

  severity != null not allof(oracle, active)

• Restituisce i valori severity che iniziano con d o iniziano con f:

  * | distinct Severity | where anyof(substr(severity, 0, 1) = d, substr(severity, 0, 1) = f)

• Restituisce i valori severity che iniziano con f e sono not fatal:

  * | distinct Severity | where allof(severity != fatal, substr(severity, 0, 1) = f)

Altri esempi per allfields() e anyfields():

• Restituisce i log in cui tutti i campi che iniziano con la stringa tar (ad esempio Target, Target Guid, Target Type) sono non nulli:

  allfields(tar*) != null

• allfields è la funzione predefinita e la query precedente può essere scritta nel modo seguente:

  'tar*' != null

• Restituisce i log in cui uno qualsiasi dei campi che iniziano con tar è nullo:

  
  anyFields(tar*) = null

• Corrisponde ai log con tutti i campi numerici che terminano con length (ad esempio: Lunghezza pacchetto, Lunghezza, Lunghezza pacchetto UDP) con il valore 2:

  allFields(*length) = 2

• Corrisponde ai log con uno qualsiasi dei campi numerici che terminano con length con un valore 2:

  anyFields(*length) = 2