単位名:

• BYTE
• KILOBYTE | KB
• MEGABYTE | MB
• GIGABYTE | GB
• TERABYTE | TB
• PETABYTE | PB
• EXABYTE | EB
• MILLISECOND | MS
• S | SEC | SECS | SECOND | SECONDS
• M | MIN | MINS | MINUTE | MINUTES
• H | HR | HRS | HOUR | HOURS
• D | DAY | DAYS
• W | WEEK | WEEKS
• MON | MONTH | MONTHS
• Y | YR | YRS | YEAR | YEARS
• MICRO | µs
• PERCENT | PCT

この関数は、linkコマンドでのみevalコマンドに使用できます。一般的なシナリオでの関数の使用については、evalコマンドのリンク例を参照してください。

次の書式を使用して通貨単位を指定します。

eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>)
eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>_k)
eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>_m)
eval <New Field> = unit(<Field>, currency_<ISO-4217 Code>_b)

接尾辞_k、_mおよび_bは、それぞれ数千、百万または数十億の通貨を示すために使用されます。通貨コードの完全なリストは、ISO標準を参照してください。

index0f関数の構文:

indexof (String, String [,int])

indexof (String、 String [、start_pos]): 索引数は0で始まり、start_pos (指定されている場合)から始まる一致のインデックスを返し、一致がない場合は-1を返します。

次の例は、フィールドnewFieldの値をuri文字列内の.comの位置に設定します。

*|eval newField = indexOf(uri, '.com')

ユースケース: OCI監査ログの「パス」フィールドからAPIパスの関連部分を抽出します

「パス」フィールドには、/apis/coordination.k8s.io/v1/namespaces/default/leases/oracle.com-ociのような値が含まれます。

前述のフィールドから値coordination.k8sを抽出するには、次のステップを実行します。

• indexOf()関数を使用して、1番目と2番目の/の位置を検索します。
• 3番目の/の位置を検索します。
• substr()関数を使用して、2番目の/の後に3番目の/までの値を抽出します。

'Log Source' = 'OCI Audit Logs'
| eval firstPos = indexOf(Path, '/')
| eval secondPos = indexOf(Path, '/', firstPos + 1)
| eval API = substr(Path, secondPos + 1, indexOf(Path, '/', secondPos + 1))
| link Path, API

出力例:

lastindexof関数の構文:

lastindexof(String, String, int)

lastindexof (String、 String [、 end_pos]): 索引数は0で始まり、end_pos (指定されている場合)の前の最後の部分文字列のインデックスを返し、一致がない場合は-1を返します。end_pos引数はオプションです。

lastindexof関数の使用例を次に示します。

*|eval n = lastindexof(uri, '.com')

ユースケース: OCI監査ログの「タイプ」フィールドから「面積」を抽出します

「タイプ」フィールドには、com.oraclecloud.computeApi.GetInstanceのような値が含まれます。

前述の値からcomputeAPIを抽出するには、次のスキームを使用できます。

• lastIndexOf()を使用して、最後の.の位置を特定します。
• このオフセットから、別のlastIndexOf()を使用して、前の.の位置を特定しますが、検索先からのオフセットを指定します。
• substr()を使用して、これら2つの位置の間の値を抽出します。

'Log Source' = 'OCI Audit Logs' 
| eval lastDot = lastIndexOf(Type, '.') 
| eval prevDot = lastIndexOf(Type, '.', lastDot - 1) 
| eval Area    = substr(Type, prevDot + 1, lastDot) 
| link Type, Area

出力例:

replace関数の構文:

replace(String, String, String, String, String, ..)

replaceは、1つの関数で複数の置換をサポートします。replace関数の使用例を次に示します。

• *|eval newField = replace('aabbcc', 'bb', 'xx')

• *|eval newField = replace('aabbcc', 'bb', 'xx', 'cc', 'yy')

• 単一のreplace関数の複数の置換アクションの例:

  * | eval CopiedURL = 'https://cloud.oracle.com/loganalytics/explorer?viz=<VIZ>&encodedQuery=<QUERY>&startTime=<START_TIME>&endTime=<END_TIME>&region=us-phoenix-1&tenant=testtenant'| eval Query = encode64('* | stats count as "Log Records" by "Log Source"') 
  | eval 'Start Epoch' = toString(toNumber(toDate(dateRelative(30day)))) 
  | eval 'End Epoch' = toString(toNumber(now())) 
  | eval Viz = pie 
  | eval URL = replace(CopiedURL, '<VIZ>', Viz, '<QUERY>', Query, '<START_TIME>', 'Start Epoch', '<END_TIME>', 'End Epoch')

substr関数の構文:

substr(String, int [, int])

substr(String、 start_pos、 end_pos - 1): 索引数はstart_posで始まり、end_pos - 1で終わります。

次の例では、newFieldはaabbccのサブ文字列で、開始索引(包含)は2、終了索引(排他)は4です。文字列の場合、索引数は0で始まることに注意してください。したがって、結果のサブ文字列はbbです。

*|eval newField = substr('aabbcc', 2, 4)

substr関数が使用されるユースケースについては、「indexof関数の詳細」および「lastindexof関数の詳細」を参照してください。

urlファンクションの構文:

url(String, Name, Parameter)

NameとParameterの値はオプションです。

• String: これは、URLまたは事前定義された短縮名の1つです。例:

  eval Link = url('https://www.oracle.com')

• Name: URLのオプション名。例:

  eval Link = url('https://www.oracle.com', 'Oracle Home Page')

• Parameter: Stringにショートカットを使用する場合のオプション・パラメータ。例:

  eval Link = url('tech', 'Search Oracle', 'ORA-600')

url関数の使用例を次に示します。

• * | stats latest(Status) as Status
   | eval ‘HTTP Status Code’ = url(‘https://www.google.com/search?q=http+code+’, Status, Status)

• Status != null
   | eval 'HTTP Status Code' = url('https://www.google.com/search?q=http+code+', Status, Status)
   | stats count by Status

linkコマンドの後にurl関数を使用する例:

• * | link status
   | eval ‘HTTP Status Code’ = url(‘https://www.google.com/search?q=http+code+’, Status, Status)

• * | link Type
   | stats latest(Status) as Status
   | eval ‘HTTP Status Code’ = url(‘[https://www.google.com/search?q=http+code+]’, Status, Status)

次のOracle定義のショートカットは、evalコマンドのurl関数で使用できます。