Zet Custom Logs om in doorzoekbare tabellen.

Als niets anders past. De ingebouwde profielen zijn bedoeld voor machinebesturingen, webservers, containers, applicatieframeworks en systeemlogboeken. Elk profiel is geschreven en getest met echte bestanden — dus als jouw logboek een van deze typen is, kost het minder werk en is het beter getest om dat profiel te kiezen dan om zelf een beschrijving te maken.

Voer een testverbinding uit voordat u een beslissing neemt. De agent vergelijkt de structuur van uw bestand met de meegeleverde profielen en biedt het meest overeenkomende profiel aan dat hij herkent. Het antwoord is dus gebaseerd op uw daadwerkelijke bestanden en niet op een gok. Vraag een beschrijving op als de test geen resultaat oplevert.

Meestal niet. Vijf van de zes grammatica's hebben helemaal geen patroon nodig: een bestand met scheidingstekens heeft een scheidingsteken nodig, een bestand met sleutel=waarde beschrijft zichzelf, JSON-regels beschrijven zichzelf, een header-richtlijn benoemt zijn eigen kolommen en een kolom met vaste breedte heeft een begin- en een eindwaarde nodig.

Grok is de zesde optie en de uitweg voor echt lastige regels. Zelfs dan stel je vooral benoemde onderdelen samen — een tijdstempel, een niveau, de rest — en kun je de patroonbibliotheken achter de ingebouwde profielen als uitgangspunt gebruiken in plaats van met een lege regel te beginnen.

Nee, en de standaardinstellingen zijn zo ingesteld dat u dat niet hoeft te doen. Een eerste synchronisatie lukt direct met vrijwel elk tekstbestand: één bericht één kolom per regel, waarbij de gebeurtenistijd wordt afgeleid van de wijzigingstijd van het bestand. Zo krijg je een werkende tabel die je daadwerkelijk kunt bekijken.

Daarna verfijn je de beschrijving. In het voorbeeld zie je wat je beschrijving met je eigen regels doet, zodat je bijvoorbeeld een ernstniveau of taaknummer in een eigen kolom kunt zetten en het resultaat kunt bekijken voordat je de wijzigingen toepast. Pas de beschrijving later aan en synchroniseer opnieuw — ondertussen is er niets weggegooid.

Ja, en dit is de instelling die mensen het vaakst nodig hebben. Een record hoeft niet uit één regel te bestaan: je kunt aangeven dat een record begint zodra een regel overeenkomt met een patroon — meestal een tijdstempel aan het begin van de regel — en dat alles daarna bij dat record hoort tot de volgende overeenkomst.

Er zijn nog vijf andere manieren om de grens te tekenen als dat niet de gewenste vorm is: een lege lijn tussen records, een openings- en een sluitingsmarkering, een regel voor wat als een vervolglijn geldt, of een vast aantal lijnen. Een uitzondering van twintig lijnen ontstaat dan in de vorm van één regel met de volledige trace erin.

Dat is het standaardgeval, en het werkt. Als er geen veld als tijd is opgegeven, wordt de gebeurtenistijd afgeleid van de wijzigingstijd van het bestand. De rijen kunnen dus nog steeds worden gesorteerd en houden rekening met een bewaartermijn; de tijd is alleen nauwkeurig op bestandsniveau in plaats van op regelniveau.

Als de tijd in de regel staat maar over twee velden is verdeeld — een datumkolom en een tijdkolom, wat vaak voorkomt in bestanden met vaste breedte en bestanden met scheidingstekens — kun je beide opgeven en ze laten samenvoegen tot één tijdstempel.

UTF-8 is het juiste antwoord voor de meeste bestanden die in dit decennium zijn geschreven. Het is het enige veld zonder standaardwaarde, en dat is bewust: ervan uitgaande dat UTF-8 op een Latin-1-bestand geen foutmelding geeft, worden alle geaccentueerde tekens stilletjes verminkt, en een stille corruptie is veel erger dan een vraag die eenmaal gesteld is.

Als je twijfelt, laat het voorbeeld het zien: een verkeerde tekencodering verschijnt meteen als onleesbare tekst in de voorbeeldrijen. Oudere Windows-software en industriële apparatuur zijn de gebruikelijke redenen waarom UTF-8 niet het juiste antwoord is.

Vraag het ons. Als het gaat om een indeling die redelijk veel mensen gebruiken — een commercieel product, een gangbaar framework of industriële apparatuur — nemen we die liever op als ingebouwd profiel dan dat elke klant hetzelfde zelf moet beschrijven. Via de koppeling kun je rechtstreeks een verzoek indienen.

Een ingebouwde oplossing is beter voor u én voor ons: deze wordt door de agent vastgezet, getest met echte opnames en komt met een agentupdate op uw servers terecht, in plaats van dat iemand een connector hoeft aan te raken.

Ze worden bewaard, niet verwijderd. Een regel waarvan de grammatica niet klopt, wordt behouden als een onbewerkte regel met een bijbehorende reden. Zo wordt een afwijkende invoer, een formaat dat onder uw toezicht is gewijzigd, of een beschrijving die nog niet helemaal klopt, weergegeven als iets dat u kunt zien en controleren, in plaats van als een stille hiaat in uw cijfers.

Dat is het vangnet dat het redelijk maakt om een beschrijving te verfijnen. Je hoeft nooit te kiezen tussen een strikte parser die gegevens weggooit en een soepele parser die je opzadelt met een muur van tekst: de geparseerde rijen hebben een gegevenstype en alles wat niet kon worden geparseerd, blijft ernaast behouden.