タイムスタンプ、タイム ゾーン、時間範囲、および日付フォーマット

カスタム タイムスタンプ形式の指定

Sumo ではほとんどのタイムスタンプが問題なく自動的に parse されますが、タイムスタンプの parse に問題がある場合は手動で parse の形式を指定できます。新しい Source を設定する場合と、既存の Source のタイムスタンプ情報を編集する場合の手順は同じです。

カスタムの形式を指定するときは、タイムスタンプ形式と、必要に応じてログ行の形式で目的のタイムスタンプを見つけるための正規表現を指定します。ロケータを指定しない場合は、デフォルトの特定の形式と一致するタイムスタンプについてログ メッセージ全体がスキャンされます。サンプルのログ行をいくつかテストして、新しい形式を parse できるかどうかを確認することもできます。

複数のカスタム形式を指定するときは、最初に最も一般的な形式を指定します。Sumo は、指定された順序で各カスタム形式を処理します。タイムスタンプが特定されると、以降のタイムスタンプ チェックは実行されません。

カスタム フォーマットに一致するタイムスタンプが特定されない場合、Sumo は依然としてログのタイムスタンプを自動的に特定することを試みます。

Source のタイムスタンプ形式を手動で指定するには、次の手順を実行します。

1. 次のいずれかを実行します。
   • 新しい Source を設定する場合は、手順 2 に進みます。
   • 既存の Source のタイムスタンプ設定を編集するには、[Manage Data (データの管理)] > [Collection (コレクション)] > [Collection (コレクション)] の順にクリックします。次に、Source 名の右側にある [Edit (編集)] をクリックして、手順 2 に進みます。
2. [Advanced (詳細設定)] をクリックします (詳細設定がまだ表示されていない場合)。
3. [Timestamp Format (タイムスタンプ形式)] で、[Specify a format (形式を指定)] を選択します。
   
4. [Format (形式)] フィールドに、Sumo Logic によるログ内のタイムスタンプの parse に使用するタイムスタンプ形式を入力します。タイムスタンプの形式がエポック タイムの場合は、[Format (形式)] フィールドに「epoch」と入力します。カスタム タイムスタンプ形式は、サポートされるタイムスタンプの表記規則に従う必要があります。
   
5. [Timestamp locator (タイムスタンプ ロケータ)] フィールドは、16 桁のエポックまたは 19 桁のエポックのタイムスタンプに対して必須です。それら以外の場合、このフィールドは省略可能です。指定された形式がいずれも一致しない場合、自動的にメッセージのタイムスタンプが決定されます。
   
   タイムスタンプ ロケータは、以下の条件を満たす必要があります。
   • 有効な Java 正規表現を使用すること。そうでない場合は、次のエラー メッセージが表示されます。
     Unable to validate timestamp formats. The timestamp locator regex your-regex is invalid. The timestamp locator regex your-regex uses matching features which are not supported. 
   • RE2 準拠の正規表現を使用すること。例: \[time=(.*?)\]. そうでない場合は、次のエラー メッセージが表示されます。
     Unable to validate timestamp formats. The timestamp locator regex your-regex uses matching features which are not supported.
   • 名前のないキャプチャ グループを 1 つ含むこと。タイムスタンプを抽出するときは、このグループによってキャプチャされた各ログ メッセージの一部分だけをスキャンします。ログ メッセージがロケータの式と一致しない場合は、タイムスタンプ形式をそのメッセージに適用することはできません。正規表現に名前のないキャプチャ グループが 1 つも含まれていない場合は、次のエラー メッセージが表示されます。
     Unable to validate timestamp formats. The timestamp locator regex your-regex does not contain a single unnamed capture group. The timestamp locator regex your-regex uses matching features which are not supported
6. 追加するカスタム タイムスタンプ形式が複数ある場合は、[Add (追加)] をクリックします。
7. すべてのカスタム タイムスタンプ形式を入力したら、[Test (テスト)] をクリックします。タイムスタンプ ロケータに有効な正規表現を入力した場合は、[Test Timestamp Parsing (タイムスタンプの parse のテスト)] ページが表示されます。サンプル ログ メッセージを入力して、抽出されるタイムスタンプ形式をテストします。
   
8. [Test (テスト)] をクリックします。parse されたタイムスタンプと、形式の一致 (存在する場合) を含む結果が表示されます。
   
   次のいずれかのメッセージが表示されます。
   • Format matched (形式が一致しました)。  この例では、yyyy/MM/dd HH:mm:ss の形式が一致し、緑色で強調表示されます。これは 1 番目の形式なので、1(形式: yyyy/MM/dd HH:mm:ss ロケータ: \[time=(.*?)\]) として返されます。[Effective message time (有効メッセージ時間)] は、2017-01-15 02:12.000 +0000 となります。
   • None of the custom timestamp format was matched (どのカスタム タイムスタンプ形式も一致しませんでした)。  カスタム フォーマットはログで検出されませんでしたが、それでも自動検出された使用可能なタイムスタンプの 2017-06-01 02:12:12.259667 がオレンジ色で強調表示されています。[Effective message time (有効メッセージ時間)] は、2017-06-01 02:12:12.259 +0000 となります。
   • Unable to parse any timestamp (タイムスタンプを parse できません)。サンプルのログ行の "This line shouldn't parse (この行は parse されません)" の部分には parse 可能なタイムスタンプがないため、タイムスタンプは現在の時刻になります。
9. 省略可能。ログ行を変更する場合は、[Edit (編集)] をクリックして、テストする別のログ行を指定できます。
10. [Done (完了)] をクリックして [Test Timestamp Parsing (タイムスタンプ parse のテスト)] を終了します。
11. [Save (保存)] をクリックしてカスタム タイムスタンプ形式を保存します。

トラブルシューティングのための _format の使用

タイムスタンプがログ ファイルからどのように parse されるかを確認するには、_format を使用します。

_format の結果のフィールドは次のとおりです。

t:<parse type>,o:<offset>,l:<length>,p:<date_format>

<parse type> は、次の値を取ります。

• fail—タイムスタンプの検出に失敗。
• cache—成功、キャッシュされた形式。
• def—成功、デフォルト (ユーザ指定) の形式。
• full—成功、パターンのライブラリに対する " 完全 " な parse。
• none—ローカル/受信時間、この Source に対してタイムスタンプの parse が有効になっていないため。
• ac1—" ウィンドウ ベース " のヒューリスティックによって自動修正 (Sumo では現在 " 自動修正 " という名称を使用しています)。Sumo Logic では、特定の Source に含まれるすべてのログ メッセージには、近接しているタイムスタンプが含まれると想定します。メッセージが届いたのが、その Source に含まれる最近のメッセージより 2 日以上前または後だと思われる場合、メッセージは現在の時刻に合うように自動修正されます。この自動修正は、Source 上でカスタム タイムスタンプ形式を明示的に設定することによって停止できます。
  • たとえば、Sumo が "Dec 2, 2017 2:39:58 AM" のタイムスタンプを parse するとします。Source から以前に受信したメッセージに "Dec 1, 2017 2:39:58 AM" より前または "Dec 3, 2017 2:39:58 AM" より後のタイムスタンプがある場合、Sumo によってタイムスタンプが現在の時刻に自動修正されます。
• ac2— -1y、+2d のヒューリスティックによって自動修正されます。Sumo Logic は、特定の Source から提供されるすべてのログ メッセージのタイムスタンプが、現在の時間と比較して -1 年から +2 日の範囲内になると仮定します。parse されたタイムスタンプがこの範囲から外れたログ メッセージは、自動的に現在の時刻で再スタンプされます。
  • たとえば、Sumo が "Dec 2, 2017 2:39:58 AM" のタイムスタンプを parse するとします。Source から以前に受信したメッセージに "Dec 1, 2016 2:39:58 AM" より前または "Dec 4, 2017 2:39:58 AM" より後のタイムスタンプがある場合、Sumo によってタイムスタンプが現在の時刻に自動修正されます。