La página Crear analizador se abre en el modo Guiado, por defecto. Continúe en este modo si desea que Logging Analytics genere la expresión regular para analizar los logs después de seleccionar los campos. Para el modo guiado, consulte Vídeo: Uso del generador de analizadores RegEx. Si desea escribir una expresión regular para el análisis, cambie al modo Avanzado y continúe con los siguientes pasos:

1. En el campo Nombre, introduzca el nombre del analizador. Por ejemplo, introduzca Custom Audit Logs.

2. Opcionalmente, proporcione una descripción adecuada al analizador para facilitar la identificación.

3. En el campo Contenido de log de ejemplo, pegue el contenido de un archivo log que desea analizar, como el siguiente:

   Jun 20 2020 15:19:29 hostabc rpc.gssd: ERROR: can't open clnt5aa9: No such file or directory
   Jul 29 2020 11:26:28 hostabc kernel: FS-Cache: Loaded
   Jul 29 2020 11:26:28 hostxyz kernel: FS-Cache: Netfs 'nfs' registered for caching
   Aug 8 2020 03:20:01 slc08uvu rsyslogd-2068: could not load module '/lib64/rsyslog/lmnsd_gtls.so', rsyslog error -2078
   [try http://www.rsyslog.com/e/2068 ]
   Aug 8 2020 03:20:36 0064:ff9b:0000:0000:0000:0000:1234:5678 rsyslogd-2066: could not load module '/lib64/rsyslog/lmnsd_gtls.so', dlopen: /lib64/rsyslog/lmnsd_gtls.so: cannot open shared object file: Too many open files
   [try http://www.rsyslog.com/e/2066 ]
   Sep 13 2020 03:36:06 hostnam sendmail: uAD3a6o5009542: from=root, size=263, class=0, nrcpts=1, msgid=<201611130336.uAD3a6o5009542@hostname.example.com>, relay=root@localhost
   Sep 13 2020 03:36:06 hostnam sendmail: uAD3a6o5009542: to=root, ctladdr=root (0/0), delay=00:00:00, xdelay=00:00:00, mailer=relay, pri=30263, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (uAD3a6KW009543 Message accepted for delivery)
   Sep 20 2020 08:11:03 hostnam sendmail: STARTTLS=client, relay=userv0022.example.com, version=TLSv1/SSLv3, verify=FAIL, cipher=DHE-RSA-AES256-GCM-SHA384, bits=256/256]]>

   Se trata de una entrada de log de varias líneas porque la entrada 4 y 5 abarcan varias líneas.

4. En el campo Analizar expresión regular, introduzca la expresión regular para analizar los campos. Cada par de paréntesis indica la cláusula de expresión regular que se va a extraer a un único campo.

   La expresión de análisis es única para cada tipo de log y depende del formato de las entradas de log reales. En este ejemplo, introduzca:

   (\w+)\s+(\d+)\s+(\d+)\s+(\d+):(\d+):(\d+)\s+([^\s]+)\s+([^:]+):\s+(.*)

   Nota
   
   

   • No incluya espacios antes o después del contenido.

   • La expresión regular debe coincidir con el texto completo del registro de log.

   • Si ha incluido caracteres ocultos en la expresión de análisis, la interfaz Crear analizador emite una advertencia:

     Parser expression has some hidden control characters.

     Para desactivar esta respuesta por defecto, desactive la casilla de control Mostrar caracteres de control ocultos cuando aparezca el mensaje de error.

   Para obtener más información sobre la creación de expresiones de análisis, consulte Expresiones de análisis de ejemplo.

5. Seleccione elperíodo de registro de log adecuado.

   La entrada de log puede tener una sola línea o varias líneas. Si ha elegido varias líneas, introduzca la expresión de inicio del registro de log.

   Debe definir la expresión regular para que sea la regla mínima necesaria para identificar correctamente el inicio de una nueva entrada de log. En el ejemplo, la expresión de inicio puede ser:

   (\w+)\s+(\d+)\s+(\d+)\s+

   Esto indica que el inicio de una nueva entrada de log se produce siempre que una nueva línea empieza por el texto que coincide con esta expresión de inicio de entrada.

   Si lo desea, también puede introducir la expresión final. Utilice Expresión End para indicar el final del registro de log. Cuando se escribe un registro de log en el archivo durante un largo período de tiempo y desea asegurarse de que se recopila toda la entrada de log, utilice la expresión regular end. El agente espera hasta que el patrón de expresión regular final coincida para recopilar el registro de log. Se aplican las mismas reglas de formato para la expresión final que la expresión de inicio de entrada.

   Seleccione la casilla de control Gestionar el archivo entero como un registro de log único si es necesario. Esta opción permite analizar y almacenar todo un archivo log como una sola entrada de log. Esto resulta especialmente útil al analizar orígenes de log como logs de volcado de Java Hotspot, lista RPM de logs de paquetes, etc. Si la entrada del log tiene mucho texto que desea que se pueda buscar, puede que desee considerar la posibilidad de activar la casilla de control Active la búsqueda de texto raw en este contenido. Esta opción permite buscar los registros de log con el campo Texto raw. Cuando está activada, puede ver el contenido del log original con el texto raw.

6. En el separador Campos, seleccione el campo correspondiente para almacenar cada valor capturado de la expresión regular.

   Para crear un nuevo campo, haga clic en el icono . Se abre el cuadro de diálogo Crear campo definido por el usuario. Introduzca los valores para Nombre, Tipo de datos, Descripción y utilice la casilla de control Campo de varios valores según corresponda para sus logs. Para obtener información sobre los valores que se deben introducir, consulte Crear un campo. Para eliminar el campo seleccionado en la fila, haga clic en el icono .

   Para cada valor capturado, seleccione el campo en el que desea almacenar los datos. El primer campo capturado en el ejemplo se puede introducir de la siguiente manera:

   • Nombre del campo: Mes (abreviatura)

   • Tipo de datos de campo: STRING

   • Descripción del campo: componente Mes de la hora de entrada del log como nombre abreviado, como Ene.

   • Expresión de campo: (\w{3})

   En el ejemplo de log anterior, tendría que asignar los campos en el siguiente orden:

   1. Mes (abreviatura)
   2. Día
   3. Año (4 dígitos)
   4. Nombre de host (servidor)
   5. Servicio
   6. Mensaje

7. En el separador Funciones, haga clic en Agregar función para agregar opcionalmente una función para procesar previamente las entradas del log. Consulte Procesamiento previo de las entradas de log.

8. Haga clic en el separador Prueba de analizador para ver cómo el analizador recién creado extrae valores del contenido del log.

   Puede ver las entradas del log desde el contenido de ejemplo que ha proporcionado anteriormente. Utilice esta opción para determinar si el analizador que ha definido funciona correctamente.

   Si la expresión regular falla para una entrada de log, el estado de coincidencia muestra la parte de la expresión que ha funcionado en verde y la parte que ha fallado en rojo. Esto le ayuda a identificar qué parte de la expresión regular se debe corregir.

   Puede ver la lista de eventos que han fallado en la prueba del analizador y los detalles del fallo. También puede ver el recuento de pasos que puede dar una idea del costo de la expresión regular. Lo ideal es que este valor sea lo más bajo posible. Cualquier valor menor de 1.000 puede ser aceptable, pero a veces es necesaria una expresión regular más cara. Si la expresión regular realiza demasiados pasos, puede provocar un mayor uso de CPU en el host del agente y un menor procesamiento de los logs. Esto retrasará la disponibilidad de las entradas de log en el explorador de logs. En casos extremos en los que la expresión regular es demasiado costosa, omitiremos el análisis de la entrada de log y cualquier otra entrada recopilada en el mismo período de recopilación.

Haga clic en Guardar para guardar el nuevo analizador que acaba de crear.

Para cancelar la creación del analizador, haga clic en Cancelar. Al hacer clic en Cancelar, perderá cualquier progreso realizado en la creación del analizador de tipo Expresión regular.

Consulte el tema adicional: Gestión de varias unidades JSON en un único analizador de JSON

Para crear un analizador de JSON:

1. En el campo Analizador, introduzca el nombre del analizador. Por ejemplo, introduzca Custom API Log.

2. Seleccione el tipo de analizador como JSON.

3. Opcionalmente, proporcione una descripción adecuada al analizador para facilitar la identificación.

4. En el campo Contenido de log de ejemplo, pegue el contenido de un archivo log que desea analizar, como el siguiente:

   {
     "name": "helloapi",
     "hostname": "banana.local",
     "pid": 40442,
     "level": 30,
     "req": {
       "method": "GET",
   	"url": "/hello?name=paul",
   	"headers": {
   	  "user-agent": "curl/7.19.7 (universal-apple-darwin10.0) libcurl/7.19.7 OpenSSL/0.9.8r zlib/1/2/3",
   	  "host": "0.0.0.0:8080",
   	  "accept": "*/*"
   	},
   	"remoteAddress": "127.0.0.1",
   	"remotePort": 59834
     },
     "msg": "start",
     "time": "2012-03-28T17:39:44.880Z",
     "v": 0
   }

   Según el contenido del log de ejemplo, los campos se seleccionan y se muestran en el separador Campos, como en el siguiente ejemplo:

   
   
   
   
   
5. En el separador Campos, para la ruta de JSON específica, seleccione el nombre del campo de los campos definidos disponibles.

   Para crear un nuevo campo, haga clic en el icono . Se abre el cuadro de diálogo Crear campo definido por el usuario. Introduzca los valores para Nombre, Tipo de datos, Descripción y utilice la casilla de control Campo de varios valores según corresponda para sus logs. Para obtener información sobre los valores que se deben introducir, consulte Crear un campo. Para eliminar el campo seleccionado en la fila, haga clic en el icono .

   La ruta raíz por defecto seleccionada es $. Si desea cambiar la ruta raíz de JSON, amplíe la sección Opciones avanzadas y seleccione la ruta de acceso de JSON de entrada de log en el menú.

6. En el separador Funciones, haga clic en Agregar función para agregar opcionalmente una función para procesar previamente las entradas del log con la función de analizador de cabecera. Consulte Procesamiento previo de las entradas de log.
7. Después de seleccionar los campos, vaya al separador Prueba de analizador para ver el estado de coincidencia y los campos seleccionados del contenido del log de ejemplo.
8. Haga clic en Guardar para guardar el nuevo analizador que acaba de crear.

Para cancelar la creación de un analizador de tipo JSON y cambiar a la creación de un analizador de tipo expresión regular, en Tipo, seleccione Expresión regular.

1. En el campo Analizador, introduzca el nombre del analizador. Por ejemplo, introduzca Custom Database Audit Log.

2. Seleccione el tipo de analizador como XML.

3. Opcionalmente, proporcione una descripción adecuada al analizador para facilitar la identificación.

4. En el campo Contenido de log de ejemplo, pegue el contenido de un archivo log que desea analizar, como el siguiente ExampleA:

   <AuditRecord><Audit_Type>1</Audit_Type><Session_ld>201073</Session_ld><Statementid>13</Statementid><Entryld>6</Entryld>
   <Extended_Timestamp>2016-09-09T01:26:07.832814Z</Extended_Timestamp><DB_User>SYSTEM</DB_User><OS_User>UserA</OS_User><Userhost>host1</Userhost>
   <OS_Process>25839</OS_Process><Terminal>pts/4</Terminal><Instance_Number>0</Instance_Number><Object_Schema>HR</Object_Schema>
   <Object_Name>EMPLOYEES</Object_Name><Action>17</Action>
   <Returncode>0</Returncode><Sen>§703187</Sen><AuthPrivileges>--------¥-----</AuthPrivileges>
   <Grantee>SUMON</Grantee>
   <Priv_Used>244</Priv_Used><DBID>2791516383</DBID><Sql_Text>GRANT SELECT ON hr.employees TO sumon</Sql_Text></AuditRecord>

   Según el contenido del log de ejemplo, Oracle Logging Analytics identifica automáticamente la lista de elementos XML que representan los registros log.

5. Opcionalmente, active la casilla de control Ignorar espacio de nombres para ignorar el espacio de nombres en la ruta XML.

6. Opcionalmente, active la casilla de control Activar reconocimiento de posición para detectar varios valores de un elemento en una ruta XML, como en el caso de la matriz de elementos. Por ejemplo, para el siguiente ejemplo de contenido de log ExampleB:

   <ListOfTrackingFields>
       <TrackingField>
           <Name>NameA</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameB</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameC</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameD</Name>
       </TrackingField>
       <TrackingField>
           <Name>NameE</Name>
       </TrackingField>
   </ListOfTrackingFields>

   Si el reconocimiento de posición no está activado, estaría restringido a la ruta XML /ListOfTrackingFields/TrackingField/Name, que detectaría solo el primer valor de Name. Si activa el reconocimiento de posición, se detectan los siguientes 5 valores de Name en el elemento TrackingField: NameA, NameB, NameC, NameD, NameE, si se han configurado todas las rutas XML correspondientes.

7. En el menú Ruta de acceso de XML de entrada de log, seleccione el elemento XML adecuado para los registros de log de interés. Para el contenido del log de ejemplo anterior ExampleA, seleccione /AuditRecord.

   Según la selección de la ruta XML, los campos se seleccionan y se muestran en el separador Campos. En el contenido del log de ejemplo anterior, los elementos resaltados califican para los campos. Para la ruta XML de ejemplo /AuditRecord, la ruta XML del campo sería /AuditRecord/<highlighted_element>, por ejemplo, /AuditRecord/Audit_Type.

8. En el separador Campos, para la ruta XML específica, seleccione el nombre del campo de los campos definidos disponibles.

   Para crear un nuevo campo, haga clic en el icono . Se abre el cuadro de diálogo Crear campo definido por el usuario. Introduzca los valores para Nombre, Tipo de datos, Descripción y utilice la casilla de control Campo de varios valores según corresponda para sus logs. Para obtener información sobre los valores que se deben introducir, consulte Crear un campo. Para eliminar el campo seleccionado en la fila, haga clic en el icono .

9. Después de seleccionar los campos, vaya al separador Prueba de analizador para ver el estado de coincidencia.

   
   
   
   
   

10. Haga clic en Guardar para guardar el nuevo analizador que acaba de crear.

Para cancelar la creación de un analizador de tipo XML y cambiar a la creación de un analizador de tipo expresión regular, en Tipo, seleccione Expresión regular.

1. Introduzca el nombre del analizador. Por ejemplo, introduzca Comma Separated Custom App Log.

2. Opcionalmente, proporcione una descripción adecuada al analizador para facilitar la identificación.

3. Seleccione el tipo de analizador como Delimitado.

4. En Delimitador, seleccione el tipo de delimitador utilizado en los logs para separar los campos, por ejemplo, coma, punto y coma, espacio o separador. En caso de que sea diferente de las opciones mostradas, seleccione Otro y especifique el carácter delimitador en el espacio proporcionado.

   Tenga en cuenta el siguiente ejemplo de contenido de log:

   helloapi,"host,local", 65427, 29, start, 2021-08-28T17:39:44.880Z

   En el ejemplo anterior, la coma (,) es el delimitador.

   Asegúrese de que el carácter de delimitador que especifique sea diferente del calificador que seleccione a continuación.

5. Opcionalmente, seleccione el calificador que se utiliza para ajustar el texto de un campo en los logs. Seleccione Oferta doble o Oferta única.

   El calificador de texto se utiliza cuando los delimitadores están incluidos en los datos del campo. Considere un escenario en el que field1 tiene el valor host,local que contiene un carácter delimitador (,) y no se utiliza un calificador de texto. A continuación, los datos que se producen después del delimitador (local) se considerarán como el valor del siguiente campo.

   En el contenido del log de ejemplo del paso anterior, la comilla doble (") es el calificador.

   Nota
   
   Para los valores de los campos de la cadena de tipo de dato, el carácter de espacio antes y después del cualificador también se considerará parte de la cadena. Asegúrese de que el cualificador esté situado justo al lado del delimitador para que el valor de cadena coincida. Por ejemplo, en ,"host,local",, se elimina el carácter de espacio después del primer delimitador. Además, se elimina el carácter de espacio antes del último delimitador. Por lo tanto, el valor efectivo del campo de cadena coincidente es host,local, como se puede ver en el resultado de la prueba del analizador más adelante.

6. Opcionalmente, en Cabecera, pegue la línea de cabecera del log que, a continuación, se puede asignar a la columna de cabecera en el separador Campos. Por ejemplo:

   name, hostname, pid, level, msg, time

   Al especificar una cabecera, se filtran las líneas de log de los logs reales que coincidan exactamente con la cabecera.

7. En el campo Contenido de log de ejemplo, pegue el contenido de un archivo log que desea analizar, como el siguiente:

   helloapi,"host,local", 65427, 29, start, 2021-08-28T17:39:44.880Z

   Según el contenido del log de ejemplo, los campos se seleccionan y se muestran en el separador Campos, como en el siguiente ejemplo:

8. En el separador Campos, para la columna de cabecera, seleccione el nombre del campo de los campos definidos disponibles. Sin embargo, puede asignar de forma selectiva solo las columnas de cabecera preferidas y no es necesario asignar un campo para cada columna de cabecera.
   
   
   
   

   Para crear un nuevo campo, haga clic en el icono . Se abre el cuadro de diálogo Crear campo definido por el usuario. Introduzca los valores para Nombre, Tipo de datos, Descripción y utilice la casilla de control Campo de varios valores según corresponda para sus logs. Para obtener información sobre los valores que se deben introducir, consulte Crear un campo. Para eliminar el campo seleccionado en la fila, haga clic en el icono .

9. Después de seleccionar los campos, vaya al separador Prueba de analizador para ver el estado de coincidencia y los campos seleccionados del contenido del log de ejemplo.
   
   
   
   
10. Haga clic en Crear analizador para guardar el nuevo analizador que acaba de crear.

Para anular la creación de un analizador de tipo Delimitado y cambiar a crear un tipo diferente de analizador, selecciónelo en Tipo.

Si el contenido del log original se ajusta con información adicional, puede asignar el campo base que contiene el contenido del log original a un analizador y extraer los campos de ese registro de log original.

Consideremos que el contenido del log original es el siguiente:

####<Feb 01, 2021 10:28:27 AM PST> <Info> <Diagnostics> <soaapps.example.com> <excstg_soa> <[ACTIVE] ExecuteThread: '34' for queue: 'weblogic.kernel.Default (self-tuning)'> <<WLS Kernel>> <> <kernel_version> <123456> <[severity-value:64] [rid: 0] [partition-id: 0] [partition-name: DOMAIN] > <BEA-320145> <Size based data retirement operation completed on archive HarvestedDataArchive. Retired 9,720 records in 11,242 ms.>

Cuando se envía el mismo contenido de log desde OCI Logging a través de Connector Hub a Oracle Logging Analytics, se agrega un envoltorio de JSON al contenido del log original. Por ejemplo:

{
  "data": {
    "Labels": "LogPath:/u01/APPLTOP/instance/wlslogs/FADomain/servers/ServiceServer_1/logs/ServiceServer_1.log;ServiceName:Host;ServiceType:Oracle_Host;LogSet:TEST_POD;HostName:examplehost.oraclecloud.com;IP:192.0.2.1;WLS:NA;Domain:NA;AppName:myApp;Customer:CompanyA, (U.S.) Corp;CustomerType:NonHypercare;PODType:TEST;PODSize:S0;DC:CDC;Version:11.13.20.10.0;",
    "action": "ACTION",
    "msg": "####<Feb 01, 2021 10:28:27 AM PST> <Info> <Diagnostics> <soaapps.example.com> <excstg_soa> <[ACTIVE] ExecuteThread: '34' for queue: 'weblogic.kernel.Default (self-tuning)'> <<WLS Kernel>> <> <kernel_version> <123456> <[severity-value:64] [rid: 0] [partition-id: 0] [partition-name: DOMAIN] > <BEA-320145> <Size based data retirement operation completed on archive HarvestedDataArchive. Retired 9,720 records in 11,242 ms.>"
  },
  "id": "123123123",
  "oracle": {
    "compartmentid": "ocid1.compartment.oc1..aaaaaaaauniqueID",
    "ingestedtime": "2021-02-01T18:32:49.204Z",
    "loggroupid": "ocid1.loggroup.oc1.iad.amaaaaaauniqueID",
    "logid": "ocid1.log.oc1.iad.amaaaaaayuniqueID",
    "tenantid": "ocid1.tenancy.oc1..aaaaaaaaetuniqueID"
  },
  "source": "FA-APPS",
  "specversion": "1.0",
  "time": "2021-02-01T11:48:43.091Z",
  "type": "FA Unified Apps Logs"
}

En el ejemplo anterior, el contenido del log original está presente en el campo base msg.

Tenga en cuenta que en el ejemplo descrito, el contenido del log tiene un envoltorio JSON. Sin embargo, puede seguir estos pasos incluso si el contenido y los envoltorios del log original están en cualquier formato de analizador soportado y los logs se ingieren en cualquier método soportado.

Para extraer los campos del contenido del log original, siga estos pasos:

1. Según el tipo de contenido de log original, identifique o cree un analizador para recoger los campos relevantes del contenido de log original. Consulte Creación de un analizador.

   Este analizador se utilizará como analizador asignado dentro del analizador de envoltorio que creará a continuación.

2. Según el tipo de contenido de envoltorio, cree el analizador para él siguiendo los pasos de Creación de un analizador.

   Este analizador se denominará analizador de envoltorio en los pasos siguientes.

3. Para el analizador de envoltorio, proporcione un contenido de log de ejemplo que tenga un envoltorio sobre el contenido de log original.

   En el caso del analizador de JSON, la ruta raíz por defecto seleccionada es $. Si desea cambiar la ruta raíz de JSON, amplíe la sección Opciones avanzadas y seleccione la ruta de acceso de JSON de entrada de log en el menú.

4. En el separador Campos, correspondiente al campo base que tiene el contenido de log original, haga clic en el menú Acciones y seleccione Asignar campos a través de un analizador. Se abre el cuadro de diálogo donde puede seleccionar el analizador.

   En el ejemplo anterior, la fila para la que se debe agregar un analizador asignado es $.data.msg.

   En un analizador de envoltorio, solo puede asignar un campo base a un analizador asignado.

5. En el cuadro de diálogo Asignar campos a través de un analizador, seleccione el analizador mediante el que se deben extraer los campos del campo base. Haga clic en Asignar campos.

   La ficha Campos ahora muestra que el campo base está asignado al analizador asignado seleccionado y a la lista de campos extraídos.

   Es posible que el analizador asignado que seleccione también tenga un analizador asignado incluido en él. Oracle Logging Analytics admite dos niveles de analizadores asignados anidados, por ejemplo, Wrapper-parser contiene mapped-parser-1 contiene mapped-parser-2.

6. Una vez seleccionados los campos restantes, en el separador Prueba de analizador, ejecute la prueba del analizador para verificar el estado de coincidencia y los campos seleccionados del contenido del log de ejemplo.

Oracle Logging Analytics proporciona las siguientes funciones, que le permiten preprocesar entradas de log y enriquecer las entradas de log resultantes:

• Función Detalle de cabecera

• Función Buscar/Reemplazar

• Función Desfase de tiempo

Para realizar el procesamiento previo de las entradas del log al crear un analizador, haga clic en el separador Funciones y, a continuación, haga clic en el botón Agregar función.

En el cuadro de diálogo Agregar función resultante, introduzca un nombre para la función, seleccione la función necesaria y especifique los valores de campo relevantes.

Para probar el resultado de aplicar la función en el contenido del log de ejemplo, haga clic en Probar. Se muestra un resultado comparativo que ayuda a determinar la corrección de los valores de campo.