検索テンプレート

顧客 ID の検索テンプレートの作成

テンプレートを使ってユーザ検索を単純化したい場合は、ラベルと値のペアを使用して、顧客名などの人間が判読可能なラベルと、顧客 ID などの機械が解読可能な値を関連付けることができます。この関連付けにより、ユーザは、既知のカテゴリ (顧客名) で検索することができ、抽象的なカテゴリや、顧客 ID などの記憶が困難な値を使用せずに済みます。

たとえば、IP アドレスでユーザを検索する方法について、次のサンプル クエリを使用するとします。

_sourceCategory=service "Successful login from UI" | parse "[auth=User:*:*:*] [remote_ip=*]" as user,user_id,g,remote_ip
| where user_id matches joeX
| lookup city, region, country_name ,latitude, longitude from geo://location on ip=remote_ip
| where region matches CA
| count by latitude, longitude, user

チームで次の簡単なクエリを使用して、「タイムトラベラー」という疑わしいユーザを突き止める例について考えます。このユーザは、2 つの異なる地理的地域から不自然に短い時間間隔でログインしました。すなわち、過去 15 分の時間範囲にニューヨークとカリフォルニアからログインしています。タイムトラベラーのユーザは、クエリを変更したり、ユーザ ID によりユーザ名を検索したりすることを要求していません。  この場合、パラメータを使用して、ユーザに必要なドロップダウン リストをすばやく提示する検索テンプレートを作成できます。

まず、user_name と state のパラメータを作成して、joeX と CA の手動のエントリを解消します。

_sourceCategory=service "Successful login from UI"
| parse "[auth=User:*:*:*] [remote_ip=*]" as user,user_id,g,remote_ip
| where user_id matches {{user_name}}
| lookup city, region, country_name ,latitude, longitude from geo://location on ip=remote_ip
| where region matches {{state}}
| count by latitude, longitude, user

次に、user_name パラメータをユーザ名とユーザ ID との間に、すでに関連付けられているルックアップとして指定します。ここでは、/shared/angad/user_info_lookup とします。

1. Save operator で保存した有効なルックアップファイルを入力します。
   

2. フィールドで、ユーザ ID などの適切な値を選択します。

3. ラベルに名前などの対応する値を選択します。

4. [Save (保存)] をクリックします。

5. 必要に応じて、検索を新しいユーザと共有します。

タイムスライス用の検索テンプレートの作成

タイムスライスの検索テンプレート パラメータを作成することで、ダッシュボード ビューアで、タイムスライスを自分のダッシュボードに適した目的の粒度に調整できます。

例として、次の簡単なクエリについて確認します。

_sourceCategory=apache_error
| timeslice 1m
| count by _timeslice

ユーザは、この単純なクエリでも、クエリ言語や Sumo でのパイプとフィールドの使用方法について知っておく必要があります。
timeslice の引数をパラメータとして指定できます。

_sourceCategory=apache_error
| timeslice {{parameter}}m
| count by _timeslice 

timeslice には正しいデータ タイプの Number を必ず指定してください。ユーザが文字列を入力できないようにします。

このパラメータは、ユーザが使用できるようになり、タイムスライスの入力値を使用してユーザが自由に変更できるようになりました。検索が 15 分の時間範囲であることを考えると、5 を超える値はおそらく役に立ちません。制限を強化する必要がある場合は、次の手順を実行します。

省略可能。ユーザの柔軟性を高めて、タイムスライスの末尾に秒または分を追加できるようにするには、timeslice パラメータを Any に設定します。次に、ユーザは 15s や 5m などの値や、さらに長い 1h、1d、1w などの値を追加できます。

_sourceCategory=apache_error
| timeslice {{timeslice}}
| count by _timeslice

Save (保存)。これで、検索に使用するパラメータを作成できました。ユーザは、このパラメータを使用して、クエリに適していると思われる値の一覧からタイムスライスを選択できます。

パラメーター

• キーワード。ユーザからクエリへのキーワードの入力が可能になります。後述の例では、特定のクエリのキーワードを指定するためのパラメータを作成しています。パラメータのデータ タイプは文字列またはキーワードです。
• 組み込みフィールドまたは FER フィールドの値。組み込みフィールドまたは FER フィールドに値を指定します。たとえば、ユーザが _sourceCategory を動的に指定できるようになります。
• operator の引数。パラメータを使用して、operator への引数を指定できます。たとえば、パラメータを使用して、timeslice operator に引数を指定できます。

データ タイプ

データ タイプの取り扱いについては、いくつかのベスト プラクティスがあります。

• 検索式にパラメータがある場合は、キーワードを選択する必要があります。これにより、クエリの実行速度が速くなります。
• operator の引数をパラメータ化する場合は、検索でユーザがどの引数を指定する必要があるかに応じて、Any または Number のデータ タイプを使用する必要があります。
• timeslice などの operator への数値引数をパラメータ化する場合は、正しいデータ タイプが使用されていることを確認するチェックがあるため、常に Number データ タイプを使用する必要があります。Any データ タイプでは検証がサポートされていないため、サポートされていない値に使用することができます。
• たとえば、次のパスの一部をパラメータ化する場合は、

  /mysearch/{{parameter}}/k8s/api 

  Any 入力タイプを使用する必要があります。