フィールドエイリアスの作成 🔗
エイリアスはフィールドに割り当てる別の名前で、その名前を使用してそのフィールドを含むイベントを検索することができます。エイリアスは、元のフィールド名と一緒にイベントに追加され、必要なデータを見つけやすくし、関連コンテンツ の提案を通じてデータソースを接続します。
フィールド エイリアシング は、インデックス時ではなく、検索時に発生するため、データを変換することはありません。フィールド エイリアシングは元のフィールド名を変更したり削除したりしません。フィールドをエイリアスにすると、元のフィールド名でも、エイリアスのどれでも検索できるようになります。
前提条件 🔗
フィールドエイリアスを作成するには、Splunk Observability Cloud の Admin または Power ユーザーのロールが必要です。
フィールド エイリアシングを使用する場合 🔗
フィールド エイリアシングは、次のような場合に使用します:
ログデータを取得するために Log Observer Connect を使用し、Log Observer Pipeline Management にはアクセスできません。
追加のログ処理ルールを作成することで、インデックス作成容量を使用したくありません。
元のフィールド名を保持したいので、インデックス時にデータを変換するようなログ処理ルールは作成したくありません。
新しいエイリアスは、エイリアスを作成する前の時点から入ってきたものであっても、すべてのログメッセージに影響するようにしたいと思います。
ログ詳細のフライアウトの上部にフィールドを個別に表示したいと思います
フィールド エイリアシングの例 🔗
ログ詳細のフライアウトにフィールドを個別に表示する 🔗
便宜上、チームは、ログの詳細のフライアウトの上部に、特定のフィールドを常に個別に表示するように選択できます。希望のフィールドを個別に表示するには、 message
フィールドにエイリアスを付けます。Log Observerのログ詳細フライアウトは、常に message
フィールドを一番上に表示します。他のフィールドを message
フィールドにエイリアスすると、そのフィールドは、ログ詳細フライアウトの上部にある MESSAGE という独立したセクションに表示されます。
例えば、チームが summary
フィールドを最も頻繁に使用するとします。message
という summary
フィールドのエイリアスを追加します。 summary
フィールドはまだ存在しますが、message
とも呼ばれ、画面右側のログ詳細フライアウトの MESSAGE セクションに表示されます。
フィールド名の正規化 🔗
あるデータソースに http_referrer
というフィールドがあるかもしれません。このフィールドは、ソースデータでは http_referer
とスペルミスしている可能性があります。フィールドエイリアスを使用して、元のソースデータでスペルミスのあるフィールドをキャプチャし、ロギングコードを変更することなく、期待されるフィールド名にマッピングします。
同じフィールドを多少異なる名前で呼び出す2つのデータソースがあるかもしれません。例えば、あるデータソースには EventID
というフィールドがあり、別のデータソースには EventRecordID
というフィールドがあります。これらのフィールドが同じものを表していることは、値によってわかります。 EventID
を EventRecordID
にマップするフィールドエイリアスを作成し、Log Observerで分析するために、これらのフィールド名のどちらかを持つすべてのログを EventRecordID
フィールドに集約することができます。
新しいフィールドエイリアスを作成する 🔗
新しいフィールドエイリアスを作成するには、以下の手順に従ってください:
Splunk Observability Cloud のナビゲーションメニューで、Settings > Log Field Aliasing に移動し、Add a new alias をクリックします。
Original field name に、エイリアスを作成したいフィールド名を入力します。入力を開始し、利用可能なすべてのフィールドのドロップダウンリストから必要なフィールド名を選択します。
Alias に、元の名前に加えてこのフィールドに付けたい新しい名前を入力します。他の既存のフィールド名のリストがドロップダウンリストに表示されます。Save and Activate をクリックします。
Save and Activate をクリックします。
新しいフィールドエイリアスはYour aliasesに表示され、デフォルトはactiveです。これで検索時のクエリに適用されます。エイリアスを無効にするには、Your aliasesでフィールドを見つけ、Activeの隣にあるトグルをクリックします。
フィールドエイリアスを無効化または削除する 🔗
検索時のクエリにエイリアスを適用したくない場合は、フィールドエイリアスを無効化または削除できます。フィールドエイリアスを編集することはできません。代わりに、それを削除して新しいものを作成する必要があります。
フィールドエイリアスを無効化または削除するには、以下のようにします:
Settings > Log Field Aliasing にアクセスします。
Your aliases リストで、無効化または削除したいエイリアスを見つけます。
エイリアスを無効にするには、STATUS 列の Active の横にあるトグルをクリックします。エイリアスを削除するには、エイリアスの行のゴミ箱アイコンをクリックします。