连接 系统日志 到 Excel、Sheets 和 AI

观察一行的开头 /var/log/syslog 或 /var/log/messages如果它以三个字母的月份开头—— 9月10日 04:11:07 这就是 RFC 3164，也是大多数 Linux 服务器默认写入的内容。如果它以尖括号内的数字开头，后跟完整的 ISO 8601 时间戳，那就是 RFC 5424。

您无需在开始之前就确定。测试连接会报告它识别出了哪个配置文件以及匹配的文件内容，因此答案来自您的实际文件，而不是猜测。

不。两种格式都受支持，所以选择服务器当前写入的格式即可——而经典的默认格式是经过最多测试的格式。

值得考虑的一项更改与格式无关：如果您已经将多台机器的日志转发到一个收集器，请将代理指向该收集器的文件夹，这样您就可以在单个连接器中获得每个主机，因为每一行都包含它来自的主机。

年份取自文件的修改时间。例如，一个轮换存档文件，如果最后写入时间是 12 月，则会被读取为 12 月，而不是像简单的解析器那样，将每一行都直接替换为当前年份。

了解这个限制很有必要：如果文件的时间戳被抹平——例如从未保留时间戳的备份中恢复，或以重置时间戳的方式复制——则只能根据文件系统的信息进行推断。原始文本始终与解析后的值并列显示，因此您可以查看该行实际包含的内容。

不，这是人们常常忽略的设置步骤。磁盘上的日志是一个二进制数据库，Query Streams 无法直接打开它。它读取的是导出格式的数据： journalctl -o export > journal.export在任何代理可以读取的文件夹中。

实际上，这意味着服务器上会有一个定时任务——一个定时器或 cron 条目，它会将导出的文件写入代理程序已经查找的位置。之后的所有操作都是自动的，即使是 gzip 压缩的导出文件也会被读取。

两者均未在此处列出。本页列出的三种格式均为 Linux 和 Unix，我们宁愿明确指出这一差距，也不愿让“系统日志”一词造成实际上并不存在的覆盖范围的误解。

不过，Windows 系统也有解决办法。读取实时事件日志与读取文本文件不同——它是一个结构化的通道，而不是一个包含多行的文件夹——而且它属于一个单独的连接器，而不是这个连接器。但是，如果您已经按计划将这些事件导出为文本或 CSV 文件，那么该文件夹现在就可以读取：只需用一个……描述一次布局即可。 自定义日志 连接器和导出内容会像此页面上的其他内容一样以表格形式显示。

是的，最好在提出问题之前而不是之后考虑这个问题。 认证日志 系统日志记录了谁从哪里连接，这在大多数司法管辖区属于个人数据，而系统日志消息是自由格式文本，可以包含程序选择打印的任何内容。

查询流不会改变文件内容，因此更准确地说，表继承了文件的敏感性。两点有助于解决这个问题：保存的查询共享的是结果，而不是连接，因此接收者永远不会看到完整的日志；此外，过滤器允许您在与他人共享查询之前，将其范围缩小到对方实际需要的程序。

这正是它最擅长的场景。这三种格式都将主机名作为一列——两种系统日志格式从日志行中读取主机名，而日志导出格式则从其自身的 hostname 字段中获取——因此，从 40 台机器收集的文件夹只需一个连接器，按主机名分组也只需一个普通连接器。 GROUP BY.

位于不同建筑物或区域的服务器也能正常工作。每个位置都运行着自己的代理，企业版和高级版套餐可以通过一条语句使用联合查询来读取所有位置的数据。

它会被保留，而不是删除。不符合固定格式的行会作为原始行保留，并附带原因说明。因此，格式错误的条目或意外的格式更改会以可见和可查询的形式显示出来，而不是在数据中留下一个无声的空白。

对于格式标记为二进制的日志值，情况也是如此：它会连同原因一起显示在其条目旁边，而不是被猜测，而条目本身则保持完整。