JSON 分析程序

您可以自定义 JSON 分析程序配置，以便有选择地分析 JSON 日志。

您可以为 FileLog 和 WinLog 收集器配置逗号分隔值 (CSV) 分析程序。VMware Aria Operations for Logs JSON 分析程序只会分析有效的 JSON 日志。无效的 JSON 日志分析程序将返回空结果。

对于默认 JSON 分析程序配置，VMware Aria Operations for Logs Agent 将提取 JSON 日志中的所有字段。在 JSON 日志将自身表示为复杂 JSON 对象（也可能包含 JSON 对象）时，分析程序使用下划线 (_) 字符连接嵌套和更高层 JSON 对象的名称。这会为相应元素生成内容丰富的字段名称。如果 JSON 日志还包含数组，成员元素名称将包含数组名称，后跟数组中的元素索引。

JSON 分析程序还提供一个称为 fields 的特定选项。

JSON 分析程序“fields”选项

您可以使用 fields 选项指定在配置中分析的字段。该选项的用途是启用选择性 JSON 日志分析。

注：对于选择性分析，您必须指定所需的 JSON 元素的路径。不同层中的 JSON 对象必须使用点 (.)字符隔开。

以下列表提供一些示例配置，以使您能够根据需要有选择地分析 JSON 日志。

要分析 JSON 日志中的多个元素，所需的元素必须作为 fields 选项的参数列出并以逗号分隔。请参见以下示例：

{"operation" : {"timestamp" :
        "2018-11-22T15:28:58.094000", "thread_id" : "0x05673", "initiator" : "connector",
        "log_severity" : "info", "log_message" : "Requested connection to the server."},
        "operation_result" : "success"}

要仅分析最里面的 JSON 对象（如 timestamp、log_severity 和 log_message），请参见以下示例。该示例配置生成以下字段结果：operation_timestamp ="2018-11-22T15:28:58.094000" and operation_log_severity ="info"
```
[parser|json_parser]
base_parser=json
fields=operation.timestamp,operation.log_severity, operation.log_message
```

要分析整个 JSON 对象，请包含对象路径，后跟一个星号 (*) 字符。

{"product_name" : "LI Agent",
        "operation" : {"timestamp" : "2018-11-22T15:28:58.094000", "thread_id" :
        "0x05673", "initiator" : "connector", "log_severity" : "info", "log_message" :
        "Requested connection to the server."}, "operation_result" :
      "success"}

要仅分析 operation 对象，请使用以下配置：

[parser|json_parser]
base_parser=json
fields=operation.*

如果 JSON 日志包含数组，并且您希望仅分析数组的特定元素，请在配置中使用数组的元素索引，如以下示例配置中所示：

{           
      "Records": [{                                 
             "object":{                                               
                "key": "/events/mykey",                                               
                "size": 502,                                               
                "eTag": "091820398091823",                                               
                "sequencer": "1123123"                                   
            }                       
       },                       
      {                                  
            "object":{                                               
                  "key": "/events/user_key",                                               
                  "size": 128,                                               
                  "eTag": "09182039000001",                                               
                  "sequencer": "1123231"                                   
            }                        
        },                        
        {                                   
           "object":{                                               
                 "key": "/events/admin_key",                                               
                 "size": 1024,                                               
                 "eTag": "09182039547241",                                               
                 "sequencer": "1123213"                                   
            }                      
        }           
     ] 
}

要仅分析同一日志中的 key 和 size 元素，请使用以下配置生成以下字段：
records0_object_key="/events/mykey"
records0_object_size=502
records2_object_key="/events/admin_key"
records2_object_size=1024
```
[parser|json_parser]
base_parser=json
fields = Records0.object.key Records0.object.size, Records2.object.key, Records2.object.size
```
要分析所有数组元素的 key 字段，请使用以下配置：
```
[parser|json_parser]
base_parser=json
fields=Records.#.object.key
```
要分析所有字段，请使用带有星号 (*) 字符的 fields 选项。该配置相当于默认 JSON 分析程序配置。
```
[parser|json_parser]
base_parser=json
fields=*
```