Transformez vos journaux personnalisés en tables interrogeables.

Quand aucune autre option ne convient. Les profils intégrés couvrent les contrôleurs de machines, les serveurs web, les conteneurs, les frameworks d’application et les journaux système ; chacun a été créé et testé avec de vrais fichiers. Si votre journal correspond à l’un d’eux, le sélectionner demande moins de travail et a été mieux testé que de le décrire vous-même.

Effectuez un test de connexion avant de prendre votre décision. L'agent compare la structure de votre fichier aux profils fournis et vous propose le profil le plus proche qu'il reconnaît. La réponse est donc basée sur vos fichiers réels et non sur une supposition. Si le test ne donne aucun résultat, consultez la description.

Généralement non. Cinq des six grammaires n'ont besoin d'aucun modèle : un fichier délimité nécessite un séparateur, un fichier clé=valeur se décrit lui-même, les lignes JSON se décrivent elles-mêmes, une directive d'en-tête nomme ses propres colonnes et une largeur fixe nécessite un début et une longueur par colonne.

Grok est la sixième option et la solution de repli pour les lignes vraiment difficiles à traiter. Même dans ce cas, vous assemblez surtout des éléments nommés — un horodatage, un niveau, le reste — et les bibliothèques de motifs utilisées par les profils intégrés sont là pour vous servir de référence, plutôt que de partir d’une page blanche.

Non, et les paramètres par défaut sont configurés pour que vous n'ayez pas à le faire. Dès l'installation, une première synchronisation réussit sur presque tous les fichiers texte : un message une colonne par ligne, l’heure de l’événement étant déterminée à partir de la date de modification du fichier. Vous obtenez ainsi une table fonctionnelle que vous pouvez consulter.

Vous pouvez ensuite affiner la configuration. L’aperçu montre l’effet de votre description sur vos propres lignes : vous pouvez ainsi extraire la gravité ou le numéro de tâche dans une colonne distincte et voir le résultat avant de valider. Modifiez-la plus tard et resynchronisez : rien n’aura été perdu entre-temps.

Oui, c’est le réglage dont les utilisateurs ont le plus souvent besoin. Un enregistrement ne se limite pas à une ligne : vous pouvez définir qu’un enregistrement commence dès qu’une ligne correspond à un motif — généralement un horodatage en début de ligne — et que tout ce qui suit appartient à cet enregistrement jusqu’à la prochaine correspondance.

Il existe cinq autres façons de tracer la limite si cette forme n'est pas celle-ci : une ligne vide entre les enregistrements, un marqueur d'ouverture et de fermeture, une règle définissant ce qui constitue une ligne de continuation, ou un nombre fixe de lignes. Une exception de vingt lignes apparaît alors comme une seule ligne contenant la trace complète.

C’est le cas par défaut, et cela fonctionne. Si aucun champ n’est désigné comme champ temporel, l’heure de l’événement est déterminée à partir de la date de modification du fichier : les lignes restent donc triables et respectent toujours une période de conservation, mais leur heure est précise à l’échelle du fichier, et non de la ligne.

Si l’heure figure dans la ligne, mais est répartie sur deux champs — une colonne de date et une colonne d’heure, ce qui est courant dans les fichiers à largeur fixe et délimités —, vous pouvez indiquer les deux afin de les combiner en un seul horodatage.

L'encodage UTF-8 est la solution idéale pour la plupart des fichiers écrits ces dix dernières années. C'est le seul champ sans valeur par défaut, et c'est intentionnel : supposer que l'encodage UTF-8 sur un fichier Latin-1 ne génère pas d'erreur signifie qu'il corrompt silencieusement tous les caractères accentués, et une corruption silencieuse est bien plus problématique qu'une simple question posée.

Si vous avez un doute, l’aperçu vous le dira : un encodage incorrect se manifeste immédiatement par du texte illisible dans les lignes d’exemple. Les anciens logiciels Windows et les équipements industriels sont les raisons les plus courantes pour lesquelles la réponse n’est pas UTF-8.

Contactez-nous. S’il s’agit d’un format utilisé par un nombre raisonnable de personnes — un produit commercial, un framework courant, un équipement industriel —, nous préférons de loin l’ajouter comme profil intégré plutôt que de demander à chaque client de décrire la même chose. Le connecteur contient un lien direct pour en faire la demande.

Une solution intégrée est meilleure pour vous comme pour nous : elle est validée par l’agent, testée avec des captures réelles et elle arrive sur vos serveurs avec une mise à jour de l’agent, sans qu’il soit nécessaire que quiconque touche à un connecteur.

Elles sont conservées, non supprimées. Une ligne dont la grammaire ne correspond pas est conservée comme une ligne brute avec une explication, de sorte qu'une entrée étrange, un format qui a changé sous votre responsabilité ou une description encore incomplète apparaissent comme des éléments visibles et vérifiables plutôt que comme une lacune silencieuse dans vos données.

C’est ce filet de sécurité qui permet d’affiner une description en toute confiance. Vous n’avez jamais à choisir entre un analyseur strict qui élimine des données et un analyseur permissif qui vous donne un mur de texte : les lignes analysées sont typées, et tout ce qui n’a pas été analysé reste disponible à côté.