Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

limit

Verwenden Sie limit, um die Anzahl der Protokollereignisse anzugeben, die Ihre Abfrage zurückgeben soll. Wenn Sie nichts angebenlimit, gibt die Abfrage standardmäßig bis zu 10.000 Protokollereignisse zurück. Sie können einen limit Wert von bis zu 100.000 angeben.

Das folgende Beispiel gibt beispielsweise nur die letzten 25 Protokollereignisse zurück:

fields @timestamp, @message | sort @timestamp desc | limit 25

beliebig einschränken

Wird verwendetlimit any N, um die Abfrage zu beenden, sobald N passende Protokollereignisse gefunden werden, ohne die verbleibenden Daten zu scannen. Dadurch kann die Menge der gescannten Daten erheblich reduziert und Abfragen beschleunigt werden, wenn Sie nur eine Stichprobe übereinstimmender Ereignisse und nicht eine bestimmte Reihenfolge benötigen.

Bei einem regulären limit Wert scannt die Abfrage alle Daten innerhalb des Zeitbereichs und gibt dann die besten N Ergebnisse zurück. Mit wird die Abfrage frühzeitig abgeschlossenlimit any, sobald genügend Ergebnisse gefunden wurden. Das bedeutet, dass die zurückgegebenen Ereignisse aus einem beliebigen Teil des Zeitbereichs stammen können.

Die folgende Abfrage gibt beispielsweise ein Protokollereignis zurück und stoppt den Scanvorgang, sobald eine Übereinstimmung gefunden wird:

fields @message | limit any 1