Trasforma Custom Logs in tabelle consultabili con query.

Quando nessun’altra opzione è adatta. I profili integrati coprono controller industriali, server web, container, framework applicativi e log di sistema. Ognuno è stato scritto e testato con file reali: se il tuo log rientra in una di queste categorie, selezionare il profilo richiede meno lavoro ed è più collaudato che descriverlo da zero.

Esegui un test di connessione prima di decidere. L'agente confronta la struttura del tuo file con i profili predefiniti e ti propone quello più simile che riconosce, quindi la risposta proviene dai tuoi file effettivi e non da una supposizione. Consulta la descrizione se il test non restituisce alcun risultato.

Di solito no. Cinque delle sei grammatiche non necessitano di alcun modello: un file delimitato richiede un separatore, un file chiave=valore descrive se stesso, le righe JSON descrivono se stesse, una direttiva di intestazione assegna un nome alle proprie colonne e la larghezza fissa richiede un inizio e una lunghezza per colonna.

Grok è il sesto e rappresenta la soluzione per le righe davvero ostiche. Anche in quel caso, perlopiù assembli elementi con nome — un timestamp, un livello, il resto — e puoi attingere alle librerie di pattern dei profili integrati, invece di partire da una riga vuota.

No, e le impostazioni predefinite sono impostate in modo che tu non debba farlo. Di default, la prima sincronizzazione ha successo su quasi tutti i file di testo: uno messaggio una colonna per riga, con l’ora dell’evento ricavata dalla data di modifica del file. Otterrai così una tabella funzionante che puoi consultare davvero.

Poi puoi perfezionare la descrizione. L’anteprima mostra cosa produce sulle tue righe, così puoi estrarre la gravità o il numero di processo in una colonna dedicata e vedere il risultato prima di confermare. Puoi modificarla in seguito e sincronizzare di nuovo: nel frattempo non è stato eliminato nulla.

Sì, ed è l’impostazione di cui le persone hanno più spesso bisogno. Un record non deve necessariamente corrispondere a una riga: puoi specificare che inizia ogni volta che una riga corrisponde a un pattern — di solito un timestamp all’inizio della riga — e che tutto ciò che segue appartiene a quel record fino alla corrispondenza successiva.

Esistono altri cinque modi per tracciare il confine se questa non è la forma desiderata: una linea vuota tra i record, un marcatore di apertura e chiusura, una regola per stabilire cosa si intende per linea di continuazione, oppure un numero fisso di linee. Un'eccezione di venti linee si presenta quindi come un'unica riga contenente l'intera traccia.

È il caso predefinito e funziona. Se non viene indicato alcun campo come orario, l’ora dell’evento viene ricavata dalla data di modifica del file: le righe continuano a essere ordinate e a rispettare un periodo di conservazione, ma l’ora è precisa in base al file, non alla singola riga.

Se l’ora è presente nella riga ma suddivisa in due campi — una colonna per la data e una per l’ora, una situazione comune nei file a larghezza fissa e delimitati — puoi indicare entrambi i campi e combinarli in un unico timestamp.

UTF-8 è la risposta corretta per la maggior parte dei file creati in questo decennio. È l'unico campo senza un valore predefinito, e questo è voluto: presumere che UTF-8 sia presente in un file Latin-1 non genera un errore, ma altera silenziosamente ogni carattere accentato, e un'alterazione silenziosa è molto peggio di una domanda posta una sola volta.

Se hai dubbi, te lo mostrerà l’anteprima: una codifica errata apparirà subito come testo illeggibile nelle righe di esempio. I vecchi software Windows e le apparecchiature industriali sono i motivi più comuni per cui la codifica potrebbe non essere UTF-8.

Contattaci. Se si tratta di un formato utilizzato da un numero ragionevole di persone — un prodotto commerciale, un framework diffuso o un’apparecchiatura industriale — preferiamo integrarlo come profilo predefinito, invece di chiedere a ogni cliente di descrivere la stessa cosa. Il connettore include un collegamento diretto per inviare una richiesta.

Una soluzione integrata è migliore sia per te che per noi: è configurata dall'Agent, testata con acquisizioni reali e arriva sui tuoi server con un aggiornamento dell'Agent, senza che sia necessario alcun intervento manuale sul connettore.

Vengono mantenuti, non scartati. Una riga la cui grammatica non corrisponde viene conservata come riga grezza con una motivazione allegata, in modo che una voce anomala, un formato che è cambiato durante il tuo lavoro o una descrizione non ancora del tutto corretta vengano visualizzati e consultati, anziché apparire come una lacuna silenziosa nei tuoi dati.

È questa rete di sicurezza che rende ragionevole perfezionare una descrizione. Non devi mai scegliere tra un parser rigoroso che scarta i dati e uno permissivo che restituisce un muro di testo: le righe analizzate sono tipizzate e tutto ciò che non è stato analizzato resta disponibile accanto a esse.