メトリクスフィルター、サブスクリプションフィルター、フィルターログイベント、およびライブテールのフィルターパターン構文

次のコードスニペットは、メッセージに [ERROR] という単語が含まれるすべてのログイベントを返す単一の語句のフィルターパターンの例を示しています。

ERROR
                            

このフィルターパターンは、次のようなログイベントメッセージを一致とみなします。

次のコードスニペットは、メッセージに ERROR と ARGUMENTS という単語が含まれるすべてのログイベントを返す複数の語句のフィルターパターンの例を示しています。

ERROR ARGUMENTS
                            

フィルターは、次のようなログイベントメッセージを返します。

次のログイベントメッセージにはフィルターパターンで指定された語句が両方とも含まれないため、このフィルターパターンでは返されません。

パターン一致を使用し、オプション語句を含むログイベントを返すフィルターパターンを作成できます。照合する語句の前に疑問符 (「?」) を配置します。次のコードスニペットは、メッセージに ERROR または ARGUMENTS という単語が含まれるすべてのログイベントを返すフィルターパターンの例を示しています。

?ERROR ?ARGUMENTS
                            

このフィルターパターンは、次のようなログイベントメッセージを一致とみなします。

?ERROR ?ARGUMENTS REQUEST
                                

次のコードスニペットは、メッセージに INTERNAL SERVER ERROR という正確なフレーズが含まれるログイベントを返すフィルターパターンの例を示しています。

"INTERNAL SERVER ERROR"
                            

このフィルターパターンは、次のログイベントメッセージを返します

メッセージにいくつかの語句が含まれるログイベントを返し、他の語句が除外されるフィルターパターンを作成できます。除外する語句の前にマイナス記号 ([「-」]) を配置します。次のコードスニペットは、メッセージに ERROR が含まれるログイベントを返し、ARGUMENTS という語句が除外されるフィルターパターンの例を示しています。

ERROR -ARGUMENTS
                            

このフィルターパターンは、次のようなログイベントメッセージを返します。

次のログイベントメッセージには [引数] という単語が含まれているため、このフィルターパターンでは返されません。

二重引用符で囲むことで、ログイベント内の完全一致を照合することができます。次のコードスニペットは、すべてのログイベントを返すフィルターパターンの例を示しています。

" "
                            

JSON ログイベントで文字列とマッチさせるフィルターパターンを作成できます。次のコードスニペットには、文字列ベースのフィルターパターンの構文例が示されています。

{ PropertySelector EqualityOperator String }
                            

フィルターパターンを中括弧(「{}」)で囲みます。文字列ベースのフィルターパターンには、次の部分が含まれている必要があります。

次のコードスニペットには、文字列を持った JSON 語句とマッチさせるためにフィルターパターンをフォーマットする方法を示すフィルターパターンの例が含まれています。

{ $.eventType = "UpdateTrail" }
                            

JSON ログイベントの数値と一致するフィルターパターンを作成できます。次のコードスニペットには、数値とマッチさせるフィルターパターンの構文例が示されています。

{ PropertySelector NumericOperator Number }
                            

フィルターパターンを中括弧(「{}」)で囲みます。数値と一致するフィルターパターンには、次の部分が含まれている必要があります。

次のコードス ニペットには、JSON 語句を数値をマッチさせるためにフィルターパターンをフォーマットする方法を示す例が含まれています。

// Filter pattern with greater than symbol       
{ $.bandwidth > 75 }      
// Filter pattern with less than symbol
{ $.latency < 50 }
// Filter pattern with greater than or equal to symbol
{ $.refreshRate >= 60 } 
// Filter pattern with less than or equal to symbol
{ $.responseTime <= 5 }
// Filter pattern with equal sign
{ $.errorCode = 400} 
// Filter pattern with not equal sign
{ $.errorCode != 500 }
// Filter pattern with scientific notation and plus symbol
{ $.number[0] = 1e-3 } 
// Filter pattern with scientific notation and minus symbol
{ $.number[0] != 1e+3 }

このフィルターパターンは、プロパティ "eventType" の文字列 "UpdateTrail" と一致します。

{ $.eventType = "UpdateTrail" }
                            

このフィルターパターンは、プレフィックス "123.123." が付いた数字が含まれていないため、ワイルドカードが含んでおり、プロパティ"sourceIPAddress" を一致とみなします。

{ $.sourceIPAddress != 123.123.* }
                            

このフィルターパターンは、配列 "arrayKey" の要素 "value" と一致します。

{ $.arrayKey[0] = "value" }
                            

このフィルターパターンは、プロパティ "eventType" の文字列 "Trail" と一致します。

{ $.eventType = %Trail% }
                            

フィルターパターンには、配列 "arrayKey" の要素 "value" と一致する regex が含まれています。

{ $.arrayKey[*] = %val.{2}% }
                            

このフィルターパターンには、プロパティ "sourceIPAddress" の要素 "111.111.111.111" と一致する regex が含まれています。

{ $.* = %111\.111\.111\.1[0-9]{1,2}% }
                            

{ $.['cluster.name'] = "c" }
                            

IS 変数で JSON ログのフィールドと一致するフィルターパターンを作成できます。IS 変数は、値 NULL、TRUE または FALSE を含むフィールドと一致させることができます。次のフィルターパターンでは、SomeObject の値が NULL の場合、JSON ログが返されます。

{ $.SomeObject IS NULL }
                            

NOT EXISTS 変数を使用してフィルターパターンを作成し、ログデータに特定フィールドを含まない JSON ログを返すことができます。次のフィルターパターンでは、NOT EXISTS を使用してフィールド SomeOtherObject を含まない JSON ログを返します。

{ $.SomeOtherObject NOT EXISTS }
                            

このフィルターパターンには、"user" の "id" を 1 の数値とマッチし、文字列 "John.Doe@example.com" を使用して "users" 配列の最初の要素にある "email" とマッチする複合式が含まれています。

                                
{ ($.user.id = 1) && ($.users[0].email = "John.Doe@example.com") }

                            

このフィルターパターンには、"user" の "email" を文字列 "John.Stiles@example.com" とマッチさせる複合式が含まれています。

                                
{ $.user.email = "John.Stiles@example.com" || $.coordinates[0][1] = "nonmatch" && $.actions[2] = "nonmatch" }

                            

このフィルターパターンには、式が "actions" の第 3 アクションとマッチしないため、一致が見つからない複合式が含まれています。

                                
{ ($.user.email = "John.Stiles@example.com" || $.coordinates[0][1] = "nonmatch") && $.actions[2] = "nonmatch" }

                            

このフィルターパターンには、式が "users" の最初のプロパティまたは"actions"の第 3 アクションと一致しないため、一致が見つからない複合式が含まれています。

{ ($.user.id = 2 && $.users[0].email = "nonmatch") || $.actions[2] = "GET" }
                            

次のコードスニペットは、7 つのフィールド (ip、user、username、timestamp、request、status_code、および bytes) を含むスペース区切りログイベントを示しています。

                                    
127.0.0.1 Prod frank [10/Oct/2000:13:25:15 -0700] "GET /index.html HTTP/1.0" 404 1534

                                

スペース区切りのログイベントで語句を一致するフィルターパターンを作成するには、フィルターパターンを括弧(「[]」)で囲み、カンマ(「,」)で区切られた名前でフィールドを指定します。次のフィルターパターンは 7 つのフィールドを解析します。

                                    
[ip=%127\.0\.0\.[1-9]%, user, username, timestamp, request =*.html*, status_code = 4*, bytes]

                                

数値演算子 (>、<、=、!=、>=、<=) とアスタリスク (*) をワイルド カードまたは regex として使用し、フィルターパターン条件を指定できます。フィルターパターンの例では、ip は 127.0.0.1～127.0.0.9 の IP アドレス範囲に一致する regex を使用し、request は .html の値を抽出する必要があることを示すワイルドカードが含まれ、status_code は 4 で始まる値を抽出する必要があることを示すワイルドカードが含まれています。

スペース区切りログイベントで解析するフィールドの数がわからない場合は、省略記号 (...) を使用して名前のないフィールドを参照できます。省略記号を使用すると、必要な数のフィールドを参照できます。次の例には、前のフィルターパターンの例で示された最初の 4 つの無名フィールドを表す省略記号を使用するフィルターパターンが示されています。

[..., request =*.html*, status_code = 4*, bytes]
                                

論理演算子 AND (&&) と OR (||) を使用して複合式を作成することもできます。次のフィルターパターンには、status_code の値が 404 または 410 である必要があることを示す複合式が含まれています。

[ip, user, username, timestamp, request =*.html*, status_code = 404 || status_code = 410, bytes]
                                

次のスペース区切りのフィルターパターンは、ログイベントの最初の単語が[エラー] であるログイベントを返します。

[w1=ERROR, w2]
                                

論理演算子 AND (「&&」) と OR (「||」) を使用し、条件を含むスペース区切りのフィルターパターンを作成できます。次のフィルターパターンは、イベントの最初の単語が[エラー] または [警告] であるログイベントを返します。

[w1=ERROR || w1=WARNING, w2]
                                

1 つ以上の語句を除外するログイベントを返すスペース区切りのフィルターパターンを作成できます。除外する語句の前に等しくないの記号 (「!=」) を配置します。次のコードスニペットは、最初の単語が [エラー] と [警告] ではないログイベントを返すフィルターパターンの例を示しています。

[w1!=ERROR && w1!=WARNING, w2]
                                

次のコードスニペットは、regex を使用してリソース URI の最上位の項目を一致するフィルターパターンの例を示しています。

                                    
[logLevel, date, time, method, url=%/service/resource/[0-9]+$%, response_time]

                                

次のコードスニペットは、regex を使用してリソース URI の子レベルの項目を一致するフィルターパターンの例を示しています。

                                    
[logLevel, date, time, method, url=%/service/resource/[0-9]+/part/[0-9]+$%, response_time]