Sie können alle gesammelten Protokollereignisse auf dem VMware Aria Operations for Logs-Linux-Agenten basierend auf den jeweiligen Feldwerten filtern, um anzugeben, welche Protokollereignisse ausgewählt oder verworfen werden sollen. Sie können die Collector-Optionen whitelist und blacklist zum Definieren von Filtern verwenden.
Für jedes Protokollereignis wertet der Collector die Filterausdrücke whitelist und blacklist aus. Wenn der whitelist-Ausdruck „true“ ergibt und der blacklist-Ausdruck „false“ ergibt oder nicht ausgewertet werden kann, wird das Ereignis zur weiteren Verarbeitung in die Warteschlange verschoben. In jedem anderen Fall löscht der Collector das Ereignis. Der Standardwert des whitelist-Ausdrucks ist „true“ und der Standardwert des blacklist-Ausdrucks ist „false“.
Filelog
-Collector bietet weniger Felder zum Filtern. Um Felder zum Filtern zu erhalten, können Sie die Protokolle analysieren. Weitere Informationen finden Sie unter
Analysieren von Protokollen.
Ein whitelist- oder blacklist-Filter ist eine Gruppe von Variablen, Literalen und Operatoren, die einen einzelnen logischen oder Ganzzahlwert ergibt. Sie verwenden die Protokollereignisfelder als Variablen und doppelte Zeichenfolgen und Ziffern als Literale. Informationen zu den Operatoren, die Sie in einem Filterausdruck verwenden können, finden Sie unter Ereignisfelder und Operanden.
-
Wenn Sie eine Zahl mit einer Zeichenfolge vergleichen oder wenn der Vergleich numerische Zeichenfolgen beinhaltet, wird jede Zeichenfolge in eine Zahl konvertiert und der Vergleich wird numerisch durchgeführt. Beispiel:
- Der Ausdruck
whitelist = 123.0 == "000123"
ergibt „true“. - Der Ausdruck
whitelist = "00987" == "987.00"
ergibt „true“. - Im Ausdruck
whitelist = response_size >= "12.12"
wird der Ausdruck numerisch ausgewertet, wenn das Feldresponse_size
einen numerischen Wert aufweist. Wenn die Antwortgröße größer als 12,12 ist, lautet der Ausdruck „true“. Andernfalls ist er „false“. - Im Ausdruck
whitelist = "09123" < "234"
werden beide Zeichenfolgenliterale in numerische Werte konvertiert und der Ausdruck wird als „false“ ausgewertet.
- Der Ausdruck
-
Wenn einer der Zeichenfolgenoperanden nicht in numerische Werte konvertiert werden kann, werden beide Operanden in eine Zeichenfolge konvertiert. Es wird ein einfacher lexikografischer Vergleich zwischen Groß- und Kleinschreibung durchgeführt. Beispiel:
- Der Ausdruck
whitelist = "1234a" == "1234A"
ist ein Zeichenfolgenvergleich, der als „false“ ausgewertet wird. - Der Ausdruck
whitelist = 4 < "four"
konvertiert 4 in „4“ und ergibt „true“. - Im Ausdruck
whitelist = response_size > "thousand"
wird der Wert des Feldsresponse_size
in einen Zeichenfolgenwert konvertiert, der den Ausdruck auf „false“ auswertet.
- Der Ausdruck
-
Wenn ein Filterausdruck einen Ganzzahlwert ergibt, wird er als „false“ behandelt, wenn er 0 ist, andernfalls als „true“.
Beispiel: Der Ausdruck
whitelist = some_integer & 1
ergibt „true“, wenn das Feldsome_integer
ein wenig bedeutendes Bit festgelegt hat, andernfalls „false“.
Eine umfassende Liste der Protokollereignisfelder und -Operanden finden Sie unter Erfassen von Protokollereignissen aus einer Protokolldatei.
127.0.0.1 - frank [10/Oct/2016:13:55:36 +0400] "GET /apache_pb.gif HTTP/1.0" 200 2326
198.51.100.56 - john [10/Oct/2016:14:15:31 +0400] "GET /some.gif HTTP/1.0" 200 8270
198.51.100.12 - smith [10/Oct/2016:14:15:31 +0400] "GET /another.gif HTTP/1.0" 303 348
198.51.100.32 - test [10/Oct/2016:15:22:55 +0400] "GET /experimental_page.gif HTTP/1.0" 400 46374
127.0.0.1 - test [10/Oct/2016:15:22:57 +0400] "GET /experimental_page2.gif HTTP/1.0" 301 100
Voraussetzungen
- Melden Sie sich als Root-Benutzer an oder verwenden Sie sudo, um Konsolenbefehle auszuführen.
- Melden Sie sich bei dem Linux-System an, auf dem Sie den VMware Aria Operations for Logs-Linux-Agenten installiert haben. Öffnen Sie eine Konsole und führen Sie pgrep liagent aus, um sicherzustellen, dass der VMware Aria Operations for Logs-Linux-Agent installiert ist und ausgeführt wird.