JSON 形式ログの parse

構文

• | json "<name_or_key>"[, "<name_or_key>", ...] [as <field> ...]
• | json "<name_or_key>"[, "<name_or_key>", ...] [as <field>] [nodrop]
• | json [field=<field_name>] "<name_or_key>"[, "<name_or_key>", ...] [as <field> ...]
• | json auto [field=<field_name>] [maxdepth <#>]
• | json auto [field=<field_name>] [extractarrays]
• | json auto keys "<key1>"[, "<key2>", ...] [refonly] [as <field> ...]

オプション

• nodrop - 無効な JSON 値を含むメッセージを表示できます。詳細については、「parse nodrop」と「nodrop オプションの使用」を参照してください。
• field=<field_name> - フィールドを指定してデフォルト メッセージ以外を parse できます。詳細については、「Parse field」を参照してください。
• auto - ログ内の JSON オブジェクトを自動的に検出し、キー/値ペアを抽出します。詳細については「JSON auto オプション」を参照してください。

これ以降の例では、次のログ メッセージの例を使用します。

2014-03-11 15:00:42,611 -0700 INFO [hostId=prod-search-6] 
[explainJsonPlan.stream] {"module":"stream","logMessage":"exiting search","sessionId":"90D97000","customerId": "00B12CD0"
...
{
    "baselineIntervals":[
    "2014-03-11T23:00:00:000-07:00\/2014-03-12T05:00:00.000-07:00",
    "2014-03-12T05:00:00.000-07:00\/2014-03-12T11:00:00.000-07:00"],
    "meta":{
    "type": 
    "timestamps",
    "version": "1"
}
}
...

単一最上位レベル フィールドの抽出

JSON operator で単一最上位レベル フィールドを抽出できます。たとえば、accountId を抽出するには、次のように記述します。

_index=audit_events
| json "accountId"
| fields accountId

結果は次のようになります。

複数のフィールドの抽出

1 つの操作で複数のフィールドを抽出することもできます。たとえば、accountId と eventName を抽出するには、次のように記述します。

_index=audit_events
| json "accountId", "eventName"
| fields accountId, eventName

結果は次のようになります。

また、元のキー名とは異なる名前をフィールドに割り当てできます。accountId の代わりに aID、eventName の代わりに eName を使用するには、as オプションを次のように使用します。

_index=sumologic_audit_events
| json "accountId", "eventName" as aID, eName
| fields aID, eName

結果は次のようになります。

ネストされたキーの抽出

ログ メッセージの例にはネストされたキーがあります。ドット表記を使用してパスを指定すると、これらのキーを抽出できます。

たとえば、meta からネストされたキー type を抽出するには、次のクエリを使用します。

* | json field=jsonobject "meta.type"

JSON 配列の値の検索

フィールド値が、ログ メッセージの例の baselineIntervals のように、配列の場合があります。

JSON operator を使用して次のように @baselineIntervals を抽出できます。

* | json field=jsonobject "baselineIntervals"

配列  ["2014-03-10T23:...", ""2014-03-11T05:..."] の値のリストが

次のように返されます。

配列内の特定の 1 つのエントリを参照するには、配列のインデックスを次のように指定します。 

* | json field=jsonobject "baselineIntervals[1]"

ネストされた配列。ドット表記を使用してネストされた配列の parse ができます。

_sourceCategory=O365*
| json "Actor[0].Type" as Actortype0
| json "Actor[1].Type" as Actortype1

このクエリの結果は次のようになります。 

nodrop オプションの使用

デフォルトでは、JSON operator は指定されたキーがないメッセージや無効な JSON キーを使用するメッセージをドロップして、結果を最適化します。次のように nodrop オプションを使用すると、この最適化をせずに parse されたフィールドの値を Null (空白) にします。

* | json field=jsonobject "baselineIntervals[0]" nodrop

ワイルドカード (*) の使用

ワイルドカード (*) を使用して JSON の配列要素にアクセスできます。
たとえば、ワイルドカードを使用して O365 JSON メッセージの Actor Type にアクセスできます。

_sourceCategory=O365*
| json "Actor[*].Type" as Actortype

このクエリの結果は次のようになります。

次に、必要に応じて配列要素を使用して追加の操作を実行できます。たとえば、次のクエリを使用して CreationTime と Id の Type の最大値を検索できます。

_sourceCategory=O365*
| json field=_raw "CreationTime", "Id"
| json "Actor[*].Type" as Actortype
| extract field=ActorType"(?<Type>\d+)" multi
| max(type) by CreationTime, Id

結果は次のようになります。

JSON auto オプション

クエリで json auto オプションを使用して、parse ステートメントでフィールドを指定しなくても、ログ内の JSON オブジェクトを自動的に検出し、キー/値ペアを抽出します。クエリを実行すると、フィールド ブラウザを使用して、表示するフィールドを選択できます。後でクエリで parse されたフィールドを操作することもできます。

パラメータを追加して指定しない場合、JSON オブジェクトは自動的に検出され、すべてのキー/値ペアが抽出されます。JSON がないメッセージはドロップされません。

ログ メッセージ全体が JSON である必要はありません。JSON 部分の前後にテキストを配置することができます。json auto operator は、JSON オブジェクトの位置を自動検出し、parse します。

たとえば、次のメッセージがあるとします。

2015-05-04 21:51:43,289 -0700 INFO ["hostId"=stream] ["module"=stream] {"foo":{"bar":"baz"}} ...

operator は自動的に次の JSON オブジェクトを検出します。

{"foo":{"bar":"baz"}}.

json auto は、このメッセージの終わりにある json blob の開始を検索することによって機能することに注意してください。ほとんどのログはタイムスタンプなどの序文で始まり、次が json blob になります。json blob の後のメッセージの終わりにコンテンツがある場合、抽出が失敗することがあります。

メッセージの終わりに json blob を配置することをお勧めします。メッセージの中間に配置すると、抽出が失敗することがあります。

{
   "foo": {
      "bar": [
         {
            "k1": "v1"
         },
         {
            "k2": "v2"
         }
      ],
      "baz": "qux"
   }
}

検索の警告