Lange Logeinträge mit aufgeteilten Logs verarbeiten

In Cloud Logging ist die Größe eingehender Logs auf 256 KB begrenzt. Alles, was größer ist, wird verworfen. Damit Cloud Logging Ihre großen Logs beibehält, kann Fleet Engine sie in eine Reihe kleinerer Logs aufteilen.

In Cloud Logging können die folgenden Logs von Fleet Engine aufgeteilt werden:

Jeder aufgeteilte Logeintrag enthält die folgenden Felder:

  • split.uid: Eine eindeutige ID für die Gruppe von Logeinträgen, die aus einem gemeinsamen ursprünglichen Logeintrag aufgeteilt wurden. Der Wert dieses Felds ist für alle Einträge gleich, die aus dem ursprünglichen Logeintrag aufgeteilt wurden.
  • split.index: Die Position dieses Eintrags in der Reihe der aufgeteilten Einträge. Der erste Eintrag der Aufteilung hat den Index 0.split.index. Dieser Index wird auch an das Feld LogEntry.insertId angehängt.
  • split.totalSplits: Die Anzahl der Logeinträge, in die der ursprüngliche Logeintrag aufgeteilt wurde. Der Wert dieses Felds ist für alle Einträge gleich, die aus dem ursprünglichen Logeintrag aufgeteilt wurden.
split log 1:
insertId: "XXXX-01"
split {index: 0, uuid: "XXXX"}

splitLog 2:
insertId: "XXX-02"
split {index: 1, uuid: "XXXX"}

Verwenden Sie eine Abfrage wie die folgende, um alle Logs zu finden, die aus einem bestimmten Log aufgeteilt wurden:

    split.uid="789+2022-02-22T12:22:22.22+05:00"
    sortby split.index OR sortby insertID

Die Struktur dieser aufgeteilten Logs ist fast identisch mit der Struktur, die im Leitfaden für Cloud-Audit-Logs beschrieben wird. Der Hauptunterschied besteht darin, dass die Aufteilung bei Fleet Engine-Logs im Feld jsonPayload erfolgt. Weitere Informationen und Beispiele finden Sie unter Audit-Logeinträge aufteilen.

Nächste Schritte

Wenn Sie Logs nach Ihren Kriterien zählen und filtern möchten, erstellen Sie logbasierte Messwerte.