多くの場合、ログには、分析を統合するために必要なすべての情報が含まれるわけではありません。このような場合、ログのデータをよりわかりやすくするために、すでに照合した情報を取得するためのルックアップ表を作成できます。たとえば、ログ・イベントのError IDフィールドには、エラーの説明がありません。Error IDを説明にマップするルックアップを作成し、フィールド・エンリッチメント・オプションを使用してその説明をログ・レコードの検索で使用可能にできます。ルックアップを作成できるシナリオの例:

• 製品在庫: 製品ID、技術仕様、価格、利用可能在庫、ラック番号
• 従業員情報: 従業員ID、個人情報、組織、職務、階級、給与、管理者
• ライブラリ参照: タイル、作成者、サマリー、エディション、前のエディション、価格

次のlookup問合せでは、Error IDフィールドをマップすることでルックアップ表ORA Error Messagesからエラー・メッセージが取得され、Log SourceやEntityなどの他のフィールドとともにサマリー表に表示されます:

'Error ID' like 'ORA%' | lookup table = 'ORA Error Messages' select errmsg using 'Error ID' = errid | fields -*, 'Log Source', Entity, errmg

• ログからの情報:
  • Error ID: ORA%の形式で指定された、ログに含まれるエラーID
  • Log Source: ログのログ・ソース
  • Entity: ログのエンティティ
• Oracle定義のルックアップ表ORA Error Messagesからの情報:
  • errid: ORA%の形式で指定されたエラーID
  • errmsg: エラーIDに対応するエラー・メッセージ

  ORA Error Messagesルックアップ表で使用可能なその他の詳細は、各エラーIDのerrcause (エラーの原因)およびerraction (エラー・アクション)です。ルックアップ表の内容を表示するには、次のようにsearchlookupコマンドを使用します:

  * | searchlookup table = 'ORA Error Messages'

1. ナビゲーション・メニューを開き、「監視および管理」をクリックします。「ログ・アナリティクス」で、「管理」をクリックします。「管理の概要」ページが開きます。

2. 管理リソースが、左側のナビゲーション・ペインの「リソース」の下にリストされます。「ルックアップ」をクリックします。

3. 「ルックアップ」で、詳細を表示するルックアップをクリックします。

   ルックアップの詳細ページに、作成中に指定した詳細と、ルックアップ表の内容が表示されます。

ルックアップで他のアクションを実行するには、「ルックアップ」リスト・ページで、参照の「タイプ」および「作成タイプ」を選択し、「フィルタ」セクションで参照の検索を絞り込みます。ルックアップを識別した後、参照の行で「アクション」アイコンをクリックします。

• ファイルの再アップロード: ユーザーが作成した参照の場合、新しいバージョンの参照表がある場合、または前回のアップロードが失敗した場合は、再アップロードできます。

• 削除: 古い参照または未使用の参照の一部を削除する必要がある場合があります。ルックアップを削除するには、「ルックアップの削除」ダイアログ・ボックスで確認します。参照を削除できるのは、ユーザーが作成した参照のみです。

1. フィールドと値の組合せでCSVファイルを更新します。

2. ナビゲーション・メニューを開き、「監視および管理」をクリックします。「ログ・アナリティクス」で、「管理」をクリックします。「管理の概要」ページが開きます。

3. 管理リソースが、左側のナビゲーション・ペインの「リソース」の下にリストされます。「ルックアップ」をクリックします。

4. 「ルックアップ」で、更新するルックアップに対応する行の「アクション」アイコンをクリックし、「ファイルを再アップロード」をクリックします。

   「ファイルを再アップロード」ダイアログ・ボックスが開きます。

5. 前に作成した更新済のルックアップCSVファイルを選択し、「アップロード」をクリックします。

簡易ルックアップを作成した後、searchlookupコマンドを使用して問合せを実行し、ルックアップの値をリストします。問合せでlookupコマンドを使用して、出力フィールドをそれらの値にマップします。

1. フィールドと値の組合せでルックアップCSVファイルを作成します。たとえば、エラーIDを説明にマップするルックアップを作成するには:

   errid,description
   02323,Network Not Reachable
   09912,User Activity
   12322,Out of Memory

   最初の行が、後続の行の値に対するerridおよびdescriptionというタイトルのヘッダーになることに注意してください。

2. ナビゲーション・メニューを開き、「監視および管理」をクリックします。「ログ・アナリティクス」で、「管理」をクリックします。「管理の概要」ページが開きます。

3. 管理リソースが、左側のナビゲーション・ペインの「リソース」の下にリストされます。「ルックアップ」をクリックします。

4. 「ルックアップ」で、「ルックアップの作成」をクリックします。

5. 「ルックアップ」ページで、server error code lookupsなどのルックアップ名と、オプションの説明を入力します。

6. 「タイプ」で、「簡易」を選択します。

7. 前に作成したルックアップCSVファイルを選択し、「作成」をクリックします。

ディクショナリ・タイプ・ルックアップの作成後、searchlookupコマンドを使用してルックアップをリストします。問合せでlinkまたはclusterコマンドを使用した後にのみ、lookupコマンドを使用して任意の問合せでフィールドにマップします。

Operator,Condition,Network Name
CIDRMATCH,192.0.2.10/24,Database Network

Operator,Condition,Label,Module
# ----------------------------------
# Startup/Shutdown and Terminations
# ----------------------------------
CONTAINS,Server started in RUNNING mode,Server Started,WebLogic Server
CONTAINS,A critical service failed. The server will shut itself down,Server Shutdown,WebLogic Server
CONTAINS,state changed to FAILED,Server Failed,
CONTAINS,Removing .* from cluster view due to PeerGone,Cluster Removed,WebLogic Server
# ----------------------
# Connection Error / Timeouts and Slowness
# ----------------------
CONTAINS,Unable to connect to WSM policy manager,WSM Policy Manager Connection Error,
CONTAINS REGEX,java.sql.SQLTimeoutException: \S+: user requested cancel of current operation,SQL Timeout,Database
CONTAINS,This member is running extremely slowly and may endanger the rest of the cluster,WebLogic Cluster Slowness,WebLogic Server

同じディクショナリを複数の問合せで使用できます。たとえば、次の問合せでは、同じディクショナリがMessageフィールドに適用され、円グラフのビジュアライゼーションを使用してロールアップされた結果が表示されます:

'Log Source' = 'Linux Syslog Logs'
| lookup table = 'Linux Error Categories' select Issue, Area using Message
| stats count by Area