Custom Logs in abfragbare Tabellen umwandeln.

Wenn nichts anderes passt. Die integrierten Profile decken Maschinensteuerungen, Webserver, Container, Anwendungsframeworks und Systemprotokolle ab. Jedes wurde anhand echter Dateien erstellt und getestet. Wenn Ihr Protokoll zu einer dieser Kategorien gehört, ist die Auswahl des passenden Profils weniger Arbeit und besser getestet, als das Format selbst zu beschreiben.

Führen Sie einen Verbindungstest durch, bevor Sie sich entscheiden. Der Agent vergleicht die Struktur Ihrer Datei mit den mitgelieferten Profilen und bietet das ähnlichste an, das er erkennt. Die Antwort basiert also auf Ihren tatsächlichen Dateien und nicht auf einer Vermutung. Falls der Test keine Ergebnisse liefert, greifen Sie auf eine Beschreibung zurück.

In der Regel nicht. Fünf der sechs Grammatiken benötigen überhaupt kein Muster: Eine durch Trennzeichen getrennte Datei benötigt ein Trennzeichen, eine Schlüssel-Wert-Datei beschreibt sich selbst, JSON-Zeilen beschreiben sich selbst, eine Header-Direktive benennt ihre eigenen Spalten, und eine Datei mit fester Breite benötigt einen Startwert und eine Länge pro Spalte.

Grok ist das sechste Format und der Ausweg für wirklich knifflige Zeilen. Selbst dann setzen Sie meist benannte Bausteine zusammen – einen Zeitstempel, eine Ebene, den Rest. Die Musterbibliotheken hinter den integrierten Profilen können Sie als Vorlage verwenden, statt ganz von vorn anzufangen.

Nein, und die Standardeinstellungen sind so konfiguriert, dass dies nicht nötig ist. Die erste Synchronisierung funktioniert standardmäßig mit fast jeder Textdatei: eine Nachricht eine Spalte pro Zeile, wobei die Ereigniszeit dem Änderungszeitpunkt der Datei entnommen wird. So erhalten Sie eine funktionierende Tabelle, die Sie sich tatsächlich ansehen können.

Danach verfeinern Sie die Beschreibung. In der Vorschau sehen Sie, wie sie sich auf Ihre eigenen Zeilen auswirkt. So können Sie beispielsweise einen Schweregrad oder eine Auftragsnummer in eine eigene Spalte übernehmen und das Ergebnis prüfen, bevor Sie die Änderungen übernehmen. Sie können die Beschreibung später ändern und erneut synchronisieren – bis dahin geht nichts verloren.

Ja, und diese Einstellung wird am häufigsten benötigt. Ein Datensatz muss nicht aus einer einzelnen Zeile bestehen: Sie können festlegen, dass ein Datensatz beginnt, sobald eine Zeile einem Muster entspricht – üblich ist ein Zeitstempel am Zeilenanfang. Alles Folgende gehört zu diesem Datensatz, bis die nächste Übereinstimmung gefunden wird.

Falls die Form nicht stimmt, gibt es fünf weitere Möglichkeiten, die Grenze zu ziehen: eine Leerlinie zwischen den Datensätzen, eine Anfangs- und eine Endmarkierung, eine Regel für Fortsetzungszeilen oder eine feste Anzahl von Zeilen. Eine Ausnahme mit zwanzig Zeilen wird dann als eine einzige Zeile mit dem gesamten Datensatz dargestellt.

Das ist der Standardfall, und er funktioniert. Wenn kein Feld als Zeitfeld angegeben ist, wird die Ereigniszeit dem Änderungszeitpunkt der Datei entnommen. Die Zeilen lassen sich also weiterhin sortieren und berücksichtigen weiterhin eine Aufbewahrungsfrist; die Zeitangabe ist lediglich für die Datei statt für die Zeile genau.

Wenn die Zeitangabe in der Zeile steht, aber auf zwei Felder verteilt ist – eine Datumsspalte und eine Uhrzeitspalte, wie es bei Dateien mit fester Breite und bei Dateien mit Trennzeichen üblich ist –, können Sie beide angeben und zu einem Zeitstempel zusammenfügen lassen.

UTF-8 ist für die meisten in diesem Jahrzehnt erstellten Dateien die richtige Wahl. Es ist das einzige Feld ohne Standardwert, und das ist Absicht: Angenommen, UTF-8 führt bei einer Latin-1-Datei nicht zu einem Fehler, dann werden alle Akzentzeichen stillschweigend verfälscht, und eine stillschweigende Beschädigung ist viel schlimmer als eine einmal gestellte Frage.

Wenn Sie sich nicht sicher sind, zeigt es Ihnen die Vorschau: Eine falsche Codierung ist in den Beispielzeilen sofort als Zeichensalat zu erkennen. Ältere Windows-Software und Industrieanlagen sind die üblichen Gründe dafür, dass die richtige Codierung nicht UTF-8 ist.

Fragen Sie uns. Wenn es sich um ein Format handelt, das eine angemessene Zahl von Personen verwendet – etwa ein kommerzielles Produkt, ein verbreitetes Framework oder eine Industrieanlage –, würden wir es lieber als integriertes Profil bereitstellen, statt jeden Kunden dasselbe beschreiben zu lassen. Über den Connector gelangen Sie direkt zu einer Anfrage.

Eine integrierte Lösung ist sowohl für Sie als auch für uns besser: Sie wird vom Agenten festgelegt, anhand realer Aufzeichnungen getestet und gelangt mit einem Agenten-Update auf Ihre Server, ohne dass jemand einen Konnektor berühren muss.

Sie werden beibehalten, nicht gelöscht. Eine Zeile, die nicht der Grammatik entspricht, wird als Rohdatensatz mit einer Begründung beibehalten, sodass ein ungewöhnlicher Eintrag, ein Format, das sich unter Ihrer Aufsicht geändert hat, oder eine Beschreibung, die noch nicht ganz korrekt ist, als etwas angezeigt wird, das Sie einsehen und abfragen können, anstatt als stille Lücke in Ihren Zahlen.

Das ist das Sicherheitsnetz, das es erlaubt, eine Beschreibung ohne Bedenken zu verfeinern. Sie müssen sich nie zwischen einem strengen Parser entscheiden, der Daten verwirft, und einem nachlässigen, der eine Textwand liefert: Die geparsten Zeilen sind typisiert, und alles, was nicht geparst werden konnte, bleibt daneben erhalten.