eval

単位名:

• PERCENT | PCT
• データ・サイズ:
  • BYTE
  • KILOBYTE | KB
  • MEGABYTE | MB
  • GIGABYTE | GB
  • TERABYTE | TB
  • PETABYTE | PB
  • EXABYTE | EB
• 時間:
  • MILLISECOND | MS
  • S | SEC | SECS | SECOND | SECONDS
  • M | MIN | MINS | MINUTE | MINUTES
  • H | HR | HRS | HOUR | HOURS
  • D | DAY | DAYS
  • W | WEEK | WEEKS
  • MON | MONTH | MONTHS
  • Y | YR | YRS | YEAR | YEARS
  • MICRO | µs
• 指数:
  • WATT
  • KILOWATT | kW
  • MEGAWATT | MW
  • GIGAWATT | GW
  • TERAWATT | TW
  • PETAWATT | PW
  • EXAWATT | EW
• 温度:
  • KELVIN | K
  • CELSIUS | C
  • FAHRENHEIT | F
• 頻度:
  • HERTZ | Hz
  • KILOHERTZ | kHz
  • MEGAHERTZ | MHz
  • GIGAHERTZ | GHz
  • TERAHERTZ | THz
  • PETAHERTZ | PHz
  • EXAHERTZ | EHz

この関数をevalコマンドに使用できるのは、linkコマンドの下のみです。一般的なシナリオでこの関数を使用する方法については、evalコマンドの例のリンクを参照してください。

次の書式を使用して通貨単位を指定します。

eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>)
eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>_k)
eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>_m)
eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>_b)

接尾辞_k、_mおよび_bを使用して、通貨をそれぞれ数千、数百万または数十億単位で示します。通貨コードの完全なリストは、「ISO標準」を参照してください。

index0f関数の構文は次のとおりです。

indexof (String, String [,int])

indexof (String、 String [、start_pos]): 索引数は0で始まり、start_pos (指定されている場合)から始まる一致のインデックスを返し、一致しない場合は-1を返します。

次の例は、フィールドnewFieldの値をuri文字列内の.comの位置に設定します。

*|eval newField = indexOf(uri, '.com')

ユースケース: OCI監査ログの「パス」フィールドからAPIパスの関連部分を抽出します

「パス」フィールドには、/apis/coordination.k8s.io/v1/namespaces/default/leases/oracle.com-ociのような値が含まれます。

前述のフィールドから値coordination.k8sを抽出するには、次のステップに従います。

• indexOf()関数を使用して、1番目と2番目の/の位置を検索します。
• 3番目の/の位置を確認します。
• substr()関数を使用して、2番目の/(3番目の/まで)の後に値を抽出します。

'Log Source' = 'OCI Audit Logs'
| eval firstPos = indexOf(Path, '/')
| eval secondPos = indexOf(Path, '/', firstPos + 1)
| eval API = substr(Path, secondPos + 1, indexOf(Path, '/', secondPos + 1))
| link Path, API

出力例:

lastindexof関数の構文は次のとおりです。

lastindexof(String, String, int)

lastindexof (String、 String [、 end_pos]): 索引数は0で始まり、end_pos (指定されている場合)の前の最後の部分文字列の索引を返し、一致しない場合は-1を返します。end_pos引数はオプションです。

lastindexofファンクションの使用例を次に示します。

*|eval n = lastindexof(uri, '.com')

ユースケース: OCI監査ログの「タイプ」フィールドから「エリア」を抽出します

「タイプ」フィールドには、com.oraclecloud.computeApi.GetInstanceのような値が含まれます。

前述の値からcomputeAPIを抽出するには、次のスキームを使用します。

• lastIndexOf()を使用して、最後の.の位置を特定します。
• このオフセットから、別のlastIndexOf()を使用して、検索元のオフセットを指定して、前の.の位置を特定します。
• substr()を使用して、これら2つの位置間の値を抽出します。

'Log Source' = 'OCI Audit Logs' 
| eval lastDot = lastIndexOf(Type, '.') 
| eval prevDot = lastIndexOf(Type, '.', lastDot - 1) 
| eval Area    = substr(Type, prevDot + 1, lastDot) 
| link Type, Area

出力例:

replace関数の構文は次のとおりです。

replace(String, String, String, String, String, ..)

replaceは、単一の関数で複数の置換をサポートします。replaceファンクションの使用例を次に示します。

• *|eval newField = replace('aabbcc', 'bb', 'xx')

• *|eval newField = replace('aabbcc', 'bb', 'xx', 'cc', 'yy')

• 単一のreplaceファンクションでの複数の置換アクションの例:

  * | eval CopiedURL = 'https://cloud.oracle.com/loganalytics/explorer?viz=<VIZ>&encodedQuery=<QUERY>&startTime=<START_TIME>&endTime=<END_TIME>&region=us-phoenix-1&tenant=testtenant'| eval Query = encode64('* | stats count as "Log Records" by "Log Source"') 
  | eval 'Start Epoch' = toString(toNumber(toDate(dateRelative(30day)))) 
  | eval 'End Epoch' = toString(toNumber(now())) 
  | eval Viz = pie 
  | eval URL = replace(CopiedURL, '<VIZ>', Viz, '<QUERY>', Query, '<START_TIME>', 'Start Epoch', '<END_TIME>', 'End Epoch')

substr関数の構文は次のとおりです。

substr(String, int [, int])

substr(String、 start_pos、 end_pos - 1): 索引数はstart_posで始まり、end_pos - 1で終わります。

次の例では、newFieldはaabbccのサブ文字列で、開始索引(包含)は2、終了索引(除外)は4です。文字列の場合、索引数は0で始まることに注意してください。したがって、結果の部分文字列はbbです。

*|eval newField = substr('aabbcc', 2, 4)

substr関数が使用されるユースケースについては、indexof関数の詳細およびlastindexof関数の詳細を参照してください。

urlファンクションの構文:

url(String, Name, Parameter)

NameとParameterの値はオプションです。

• String: これは、URLまたは事前定義された短縮名の1つです。例:

  eval Link = url('https://www.oracle.com')

• Name: URLのオプション名。例:

  eval Link = url('https://www.oracle.com', 'Oracle Home Page')

• Parameter: Stringにショートカットを使用する場合のオプション・パラメータ。例:

  eval Link = url('tech', 'Search Oracle', 'ORA-600')

urlファンクションの使用例を次に示します。

• * | stats latest(Status) as Status
   | eval ‘HTTP Status Code’ = url(‘https://www.google.com/search?q=http+code+’, Status, Status)

• Status != null
   | eval 'HTTP Status Code' = url('https://www.google.com/search?q=http+code+', Status, Status)
   | stats count by Status

linkコマンドの後にurl関数を使用する例:

• * | link status
   | eval ‘HTTP Status Code’ = url(‘https://www.google.com/search?q=http+code+’, Status, Status)

• * | link Type
   | stats latest(Status) as Status
   | eval ‘HTTP Status Code’ = url(‘[https://www.google.com/search?q=http+code+]’, Status, Status)

次のOracle定義のショートカットは、evalコマンドのurl関数で使用できます。