Abfragen mit der Logging-Abfragesprache erstellen und speichern

In diesem Dokument wird beschrieben, wie Sie Logs mit dem Log-Explorer abrufen und analysieren. Dazu schreiben Sie Abfragen in das Feld „Abfrageeditor“ und treffen Auswahlen in den Filtermenüs mithilfe der Optionen für Logeinträge. Die von Ihnen erstellten Abfragen werden in der Logging-Abfragesprache geschrieben.

Sie können Ihre Abfragen auch auf der Seite „Log-Explorer“ oder mit der Logging API-Methode savedQueries.create speichern.

Hinweise

• Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Logs Viewer (roles/logging.viewer) für Ihr Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Lesen von Protokolldaten, zum Erstellen von Abfragen, zum Verwenden gespeicherter privater Abfragen oder zum Auflisten und Abrufen freigegebener Abfragen benötigen.

  Diese vordefinierte Rolle enthält die Berechtigungen, die zum Lesen von Protokolldaten zum Erstellen von Abfragen, zum Verwenden gespeicherter privater Abfragen oder zum Auflisten und Abrufen freigegebener Abfragen erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

  Erforderliche Berechtigungen

  Die folgenden Berechtigungen sind erforderlich, um Protokolldaten zu lesen, Abfragen zu erstellen, private gespeicherte Abfragen zu verwenden oder freigegebene Abfragen aufzulisten und abzurufen:

  • Private gespeicherte Abfragen verwenden: logging.queries.usePrivate
  • Freigegebene Abfragen auflisten und abrufen:
    • logging.queries.listShared
    • logging.queries.getShared

• Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Logging Admin (roles/logging.admin) für Ihr Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen, Aktualisieren und Löschen freigegebener Abfragen benötigen.

  Diese vordefinierte Rolle enthält die Berechtigungen, die zum Erstellen, Aktualisieren und Löschen freigegebener Abfragen erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

  Erforderliche Berechtigungen

  Die folgenden Berechtigungen sind erforderlich, um freigegebene Abfragen zu erstellen, zu aktualisieren und zu löschen:

  • logging.queries.share
  • logging.queries.updateShared
  • logging.queries.deleteShared

Weitere Informationen zu den erforderlichen IAM-Berechtigungen finden Sie unter Berechtigungen für die Google Cloud Console.

Abfragen erstellen

So erstellen Sie Abfragen mit der Google Cloud Console:

1. Rufen Sie in der Google Cloud Console die Seite Log-Explorer auf.

   Zum Log-Explorer

   Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.

2. Wählen Sie das Google Cloud-Projekt oder eine andere Google Cloud-Ressource aus, für die Sie Protokolle aufrufen möchten.

3. Erstellen Sie im Bereich Abfrage eine Abfrage.

   Im Bereich Abfrage haben Sie mehrere Möglichkeiten, Abfrageausdrücke zu erstellen und auszuführen:

   • In allen Logfeldern nach Text suchen
   • Wählen Sie Optionen aus den Filtermenüs aus.
   • Mit dem Abfrageeditor können Sie Abfragen schreiben oder ändern.
   • In der menu_book Abfragebibliothek können Sie gespeicherte, aktuelle und vorgeschlagene Abfragen aufrufen und ausführen.

In Logfeldern nach Text suchen

Wenn Sie in allen Logfeldern nach Text suchen und alle übereinstimmenden Logeinträge finden möchten, geben Sie die Suchbegriffe in das Suchfeld im Bereich Abfrage ein.

Sie können nach Wörtern und Wortgruppen suchen. Ihre Suchbegriffe können boolesche Operatoren und reguläre Ausdrücke enthalten:

• Wenn Sie eine Suche ausführen möchten, bei der die Groß- und Kleinschreibung beachtet wird, müssen Sie einen regulären Ausdruck verwenden.

• Wenn Sie eine Suche ohne Berücksichtigung der Groß- und Kleinschreibung an den Tokengrenzen durchführen möchten, geben Sie die Suchbegriffe ohne Backticks oder doppelte Anführungszeichen ein.

  Wenn Sie beispielsweise nach Logeinträgen suchen möchten, die das Wort hello und das Wort world enthalten, geben Sie hello world ein. Dieser Befehl, der in SEARCH("hello world") umgewandelt wird, stimmt mit Logeinträgen überein, die die Tokens hello und world in beliebiger Reihenfolge enthalten. Da die Suche nicht zwischen Groß- und Kleinschreibung unterscheidet, wird auch ein Logeintrag gefunden, der die Tokens Hello und World enthält. Die Suche stimmt nicht mit dem Token worlds überein.

• Wenn Sie eine groß-/kleinschreibungsinsensitive Suche nach einer Wortgruppe entlang von Tokengrenzen ausführen möchten, setzen Sie die Wortgruppe in Backticks.

  Wenn Sie beispielsweise nach dem Ausdruck hello world suchen möchten, geben Sie `hello world` ein. Dieser Befehl, der in SEARCH("`hello world`") umgewandelt wird, gleicht Logeinträge mit dem Token hello world ab. Die Suche stimmt nicht mit dem Token hello worlds überein.

• Wenn Sie nach einem Teilstring suchen möchten, bei dem die Groß-/Kleinschreibung nicht berücksichtigt wird, setzen Sie den Text in doppelte Anführungszeichen. Beispielsweise führt "hello world" zu Übereinstimmungen mit Hello World und Hello world. Mit derselben Abfrage wird auch hello worlds gefunden, da die Suche nicht an Tokengrenzen ausgeführt wird.

Aktivieren Sie Abfrage anzeigen, um die Suchbegriffe im Abfrageausdruck aufzurufen.

Klicken Sie nach der Eingabe der Suchbegriffe auf Abfrage ausführen oder drücken Sie die Eingabetaste. Die Ergebnisse der Abfrage werden dann im Bereich Abfrageergebnisse angezeigt.

Boolesche Operatoren

Die Einträge im Suchfeld werden in boolesche Ausdrücke umgewandelt, die eine Teilmenge aller Logeinträge in der ausgewählten Google Cloud-Ressource angeben.

Das Suchfeld unterstützt die Verwendung der booleschen Operatoren AND, OR und NOT. Beachten Sie bei der Verwendung von booleschen Operatoren in Ihren Suchausdrücken Folgendes:

• Sie können keine Klammern verwenden, um Regeln zu verschachteln. Alle Klammern im Suchausdruck werden als Suchbegriffe geparst.
• Boolesche Operatoren müssen großgeschrieben werden. and, or und not in Kleinbuchstaben werden als Suchbegriffe und nicht als Operatoren geparst.

Wenn Sie keine Operatoren angeben, werden alle Suchbegriffe und Wortgruppen durch AND verbunden. Sie können den Operator AND zwischen Suchbegriffen auslassen.

Die Operatoren AND und OR sind Kurzschlussoperatoren. Sie können AND- und OR-Regeln im selben Ausdruck kombinieren. Wenn die beiden Operatoren beispielsweise kombiniert werden, wird der Ausdruck a AND b OR c AND d in den folgenden Ausdruck in der Logging-Abfragesprache umgewandelt:

"a"
"b" OR "c"
"d"

Die höchste Priorität hat der Operator NOT, gefolgt von OR und AND – in dieser Reihenfolge.

Der Operator NOT führt eine Negation des nachfolgenden Ausdrucks aus. Beispiel: Mit NOT error werden Protokolleinträge zurückgegeben, die error nicht enthalten. Sie können den Operator NOT auch durch den Operator - (Minuszeichen) ersetzen. Die folgenden beiden Abfragen sind beispielsweise identisch:

"response" AND "successful" AND NOT "error"

"response successful" -"error"

Diese Logik funktioniert auch mit einem Ausdruck, wenn sich der Operator - (Minuszeichen) außerhalb der Anführungszeichen befindet. Die folgenden beiden Abfragen sind beispielsweise identisch:

-"response successful"

NOT "response successful"

Abfragen mit Filtermenüs erstellen

Sie können die Filtermenüs im Bereich Abfrage verwenden, um dem Abfrageeditor-Feld die Parameter für Ressource, Logname, Logschweregrad und Korrelationsparameter hinzuzufügen. Diese Optionen entsprechen den LogEntry-Feldern für alle Logs in Logging.

Die Optionen in den Menüs Ressource und Logname stammen aus den Logeinträgen, die in Cloud Logging gespeichert sind.

• Ressource: Hier können Sie den resource.type und die zugehörige resource.labels angeben. Dieses Filtermenü bietet die Möglichkeit, einen einzelnen Ressourcentyp und weitere (oder keine) Ressourcenlabels für Ihre Abfrage auszuwählen. Die Ressourcenparameter werden durch den logischen Operator AND verbunden.
• Logname: Hier können Sie den logName angeben. Sie können mehrere Lognamen auswählen, die auf Ihre Abfrage angewendet werden sollen. Bei der Auswahl mehrerer Lognamen wird der logische Operator OR verwendet.
• Schweregrad: Hier können Sie den Schweregrad angeben. Sie können mehrere Schweregrade gleichzeitig auswählen und auf Ihre Abfrage anwenden. Bei der Auswahl mehrerer Schweregrade wird der logische Operator OR verwendet.
• Korrelieren nach: Hiermit können Sie Logeinträge in einem hierarchischen Format gruppieren und ansehen. Weitere Informationen finden Sie unter Logeinträge korrelieren.

So verwenden Sie eines der Filtermenüs:

1. Maximieren Sie in der Spalte Abfrage eines der Filtermenüs durch Klicken auf das Dreipunkt-Menü arrow_drop_down.

2. Filterparameter verfeinern

3. Klicken Sie auf Anwenden. Die Parameter werden im Feld „Abfrageeditor“ angezeigt.

   Aktivieren Sie Abfrage anzeigen, um die Suchbegriffe im Abfrageausdruck aufzurufen.

4. Nachdem Sie die Abfrage überprüft haben, klicken Sie auf Abfrage ausführen. Die Ergebnisse der Abfrage werden dann im Bereich Abfrageergebnisse angezeigt.

Bei bestimmten Compute Engine-Ressourcentypen wie gce_instance und gce_network wird der Ressourcenname mit der Ressourcen-ID als Untertext angezeigt. Für den Ressourcentyp gce_instance wird beispielsweise neben der VM-ID der VM-Name angezeigt. Anhand der Ressourcennamen können Sie die richtige Ressourcen-ID ermitteln, auf der Sie Abfragen erstellen können.

Logs nach Zeitraum ansehen

Es gibt zwei Möglichkeiten, Protokolle anzuzeigen, die in einem bestimmten Zeitraum geschrieben wurden:

1. Verwenden Sie die Zeitraumauswahl.
2. Fügen Sie einen Zeitstempelausdruck in das Feld „Query Editor“ ein.

Zeitraumauswahl verwenden

Der Standardzeitraum beträgt eine Stunde. Sie können aber auch eine vordefinierte Zeitoption auswählen, einen benutzerdefinierten Start- und Endzeitpunkt angeben oder den Zeitraum mithilfe der Zeitauswahl um einen bestimmten Zeitstempel herum zentrieren. Wenn Sie beispielsweise die Daten der letzten Woche aufrufen möchten, wählen Sie in der Auswahl für den Zeitraum Letzte Woche aus.

Sie können Ihre Zeitzoneneinstellungen auch über die Auswahl des Zeitraums festlegen.

Fügen Sie einen Zeitstempelausdruck in das Feld „Query Editor“ ein.

Wenn Sie dem Abfrageeditor-Feld direkt einen Zeitstempelausdruck hinzufügen möchten, verwenden Sie die Logging-Abfragesprache.

Wenn das Feld im Abfrageeditor einen Ausdruck mit einem Zeitstempel enthält, ist die Zeitraumauswahl deaktiviert und die Abfrage verwendet den Zeitstempelausdruck als Zeitraumbeschränkung. Wenn eine Abfrage keinen Zeitstempelausdruck hat, verwendet die Abfrage die Zeitraumauswahl als Zeitraumbeschränkung.

Erweiterte Abfragen mit der Logging-Abfragesprache schreiben

Mit der Logging-Abfragesprache können Sie im Abfrageeditor des Log-Explorers erweiterte Abfragen erstellen:

1. Wenn das Feld „Abfrageeditor“ im Bereich Abfrage nicht angezeigt wird, aktivieren Sie Abfrage anzeigen.

2. Geben Sie Ihre Abfrageausdrücke direkt in das Feld „Query Editor“ ein.

   Wenn Sie Suchbegriffe in das Suchfeld eingegeben oder Parameter in den Filtermenüs ausgewählt haben, werden diese auch im Feld „Abfrageeditor“ angezeigt und als Teil des Abfrageausdrucks ausgewertet.

3. Nachdem Sie die Abfrage überprüft haben, klicken Sie auf Abfrage ausführen.

   Logs, die Ihrer Abfrage entsprechen, werden im Bereich Abfrageergebnisse aufgeführt. Die Bereiche Histogramm und Logfelder werden ebenfalls entsprechend dem Abfrageausdruck angepasst.

Beispiele für häufig verwendete Abfragen finden Sie unter Beispielabfragen mit dem Log-Explorer.

Aktuelle Abfragen verwenden

Wenn Sie eine Abfrage ausführen, wird sie der menu_book Abfragebibliothek hinzugefügt, die die letzten 10.000 einzelnen Abfragen über einen Zeitraum von 30 Tagen enthält.

Wenn Sie Ihre letzten Abfragen aufrufen möchten, klicken Sie in der Hauptsymbolleiste auf die Schaltfläche menu_book Abfragebibliothek. Für letzte Suchanfragen haben Sie folgende Möglichkeiten:

• Streamen: Wählen Sie diese Option aus, um die Abfrage auszuführen und die Ergebnisse zu streamen.
• Ausführen: Wählen Sie diese Option aus, um die Abfrage auszuführen.

• more_vert Weitere Optionen: Hiermit können Sie den Abfrageausdruck mit den Optionen zum Ausführen der Abfrage oder zum Speichern in der Liste der gespeicherten Abfragen anzeigen. Sie können die Abfrage auch direkt auswählen, um diese Optionen aufzurufen.

  So speichern Sie die Abfrage:

  1. Klicken Sie auf Speichern. Das Dialogfeld Abfrage speichern wird geöffnet.

  2. Füllen Sie die folgenden Felder aus:

     • Name (erforderlich): Geben Sie einen Namen für die Abfrage an. Namen sind auf 64 Zeichen beschränkt.
     • Beschreibung (optional): Geben Sie eine Beschreibung ein, um den Zweck der Abfrage zu identifizieren.
     • Zusammenfassungsfelder einschließen (optional): Aktivieren Sie Zusammenfassungsfelder einschließen und geben Sie die Zusammenfassungsfelder ein, die angezeigt werden sollen.
     • Zusammenfassungsfelder kürzen (optional): Aktivieren Sie Zusammenfassungsfelder kürzen und wählen Sie die Anzahl der zu kürzenden Zeichen aus, und ob die Kürzung vom Anfang oder Ende ausgehend erfolgen soll.

  3. Klicken Sie auf Abfrage speichern. Die Abfrage ist jetzt in der Liste "Gespeicherte Abfragen" verfügbar.

Sie können auch Ihre letzten Abfragen sortieren und filtern. Der Filter nutzt den Text im Ausdruck Ihrer Abfrage.

Speichern und Teilen von Abfragen.

Mit gespeicherten Abfragen können Sie Abfrageausdrücke speichern, um in Ihren Logs konsistenter und effizienter zu suchen. Der Log-Explorer enthält eine Abfragebibliothek, in der Sie auf Ihre gespeicherten Abfragen zugreifen können. Sie können Ihre Abfragen auch mit der Logging API-Methode savedQueries.create speichern.

Sie können die Abfrage so speichern, dass sie privat ist und nur für Sie sichtbar ist, oder sie für andere Mitglieder des Google Cloud-Projekts freigeben. Sobald Sie eine Abfrage freigegeben haben, sind Sie nicht mehr Inhaber der Abfrage. Alle Mitglieder des Projekts mit den erforderlichen Berechtigungen können dann auf die Abfrage zugreifen.

{
  "parent": "projects/my-project/locations/global"
  "savedQueryId": "compute-query"
  {
    "displayName": "compute-admin-activity-query",
    "description": "Queries for Compute Engine Admin Activity logs.",

    "loggingQuery":
      {
        "filter": resource.type="gce_instance" AND log_id("cloudaudit.googleapis.com/activity"),
      },
    "visibility": "PRIVATE"
  }
}

Gespeicherte Abfragen anzeigen

Sie können sowohl private Abfragen als auch Abfragen aufrufen, die für andere Mitglieder des Google Cloud-Projekts freigegeben wurden. Klicken Sie dazu auf die Schaltfläche menu_book Abfragebibliothek:

{
  "parent": "name": projects/PROJECT_ID/locations/-
  "visibility": "SHARED"
  "filter": "explorer"
}

Vorgeschlagene Abfragen verwenden

Logging generiert vorgeschlagene Abfragen basierend auf dem Kontext Ihres Google Cloud-Projekts, z. B. den von Ihnen verwendeten Google Cloud-Produkten. Vorgeschlagene Abfragen können Ihnen helfen, Probleme zu erkennen, und bieten einen Einblick in den Gesamtzustand Ihrer Systeme. Wird beispielsweise festgestellt, dass Sie Google Kubernetes Engine verwenden, kann Logging eine Abfrage vorschlagen, die alle Fehlerlogs für Ihre Container findet.

Wenn Sie sich vorgeschlagene Abfragen ansehen und ausführen möchten, klicken Sie auf die Schaltfläche menu_book Abfragebibliothek und dann auf Vorgeschlagen. Auf dem Tab Vorgeschlagen haben Sie folgende Möglichkeiten:

• Streamen: Wählen Sie diese Option aus, um die Abfrage auszuführen und die Ergebnisse zu streamen.
• Ausführen: Wählen Sie diese Option aus, um die Abfrage auszuführen.

• more_vert Weitere Optionen: Hiermit können Sie die Details des Abfrageausdrucks mit den Optionen zum Ausführen oder Speichern der Abfrage aufrufen. Sie können die Abfrage auch direkt auswählen, um diese Optionen aufzurufen.

  Führen Sie einen der folgenden Schritte aus, um die Details einer vorgeschlagenen Suchanfrage anzuzeigen:

  • Wählen Sie die Zeile der Abfrage aus.

  • Klicken Sie auf more_vert Mehr und wählen Sie Ansehen aus. Das Dialogfeld Abfragedetails wird geöffnet.

  Im Dialogfeld Abfragedetails sehen Sie die Abfrage und die Optionen Ausführen, Streamen oder Als:

  • So speichern Sie die Abfrage:

    1. Klicken Sie auf Abfrage speichern.
    2. Füllen Sie die Felder im Dialogfeld Abfrage speichern aus.

    Die bearbeitete Abfrage wird in der Liste Gespeichert angezeigt. Dort können Sie die Abfrage später ausführen.

  • Klicken Sie auf Ausführen, um die Abfrage jetzt auszuführen. Die Abfrage wird ausgeführt und im Feld „Abfrageeditor“ angezeigt.

  • Wenn Sie die Abfrage jetzt ausführen und die Ergebnisse streamen möchten, klicken Sie auf Stream.

  • Klicken Sie auf Schließen, um das Dialogfeld zu schließen und zur Liste der vorgeschlagenen Abfragen zurückzukehren.

Beachten Sie das folgende erwartete Verhalten:

• Bei aufeinanderfolgendem Ladevorgängen werden möglicherweise nicht die gleichen Abfragen in derselben Reihenfolge angezeigt.
• Es kann vorkommen, dass keine Vorschläge für Suchanfragen angezeigt werden.
• Manchmal werden bei der Ausführung einer vorgeschlagenen Abfrage keine Protokolle zurückgegeben.

Abfragen aus der Bibliothek auswählen

Logging bietet eine Bibliothek mit Abfragen, die auf häufigen Anwendungsfällen und Google Cloud-Produkten basieren. Mit diesen Abfragen können Sie effizient nach Logs suchen, wenn Sie in einer zeitkritischen Fehlerbehebungssitzung sind, und die Logs analysieren, um besser zu verstehen, welche Protokolldaten verfügbar sind.

So rufen Sie die Abfragen der Bibliothek auf und führen sie aus:

1. Rufen Sie in der Google Cloud Console die Seite Log-Explorer auf.

   Zum Log-Explorer

   Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.

2. Wählen Sie das Google Cloud-Projekt oder eine andere Google Cloud-Ressource aus, für die Sie Protokolle aufrufen möchten.

3. Klicken Sie auf die Schaltfläche menu_book Abfragebibliothek. Sie sehen Kategorien verfügbarer Abfragen und Teilmengen von Abfragen basierend auf Google Cloud-Produkten. Wenn Sie die Auswahl der angezeigten Suchanfragen eingrenzen möchten, klicken Sie auf eines der Produkte.

   Sie können die verfügbaren Abfragen auch über das Suchfeld nach Kategorie, Beschreibung oder Inhalt des Abfrageausdrucks durchsuchen.

4. So rufen Sie einen Abfrageausdruck auf:

   a. Klicken Sie auf die Zeile der Abfrage.

   b. Klicken Sie auf more_vert Mehr und wählen Sie Ansehen aus.

5. Im Dialogfeld Abfragedetails sehen Sie die Abfrage und die Optionen Ausführen, Streamen oder Als.

   • So speichern Sie die Abfrage:

     1. Klicken Sie auf Abfrage speichern.
     2. Füllen Sie die Felder im Dialogfeld Abfrage speichern aus.

     Die bearbeitete Abfrage wird in der Liste Gespeichert angezeigt. Dort können Sie die Abfrage später ausführen.

   • Klicken Sie auf Ausführen, um die Abfrage jetzt auszuführen. Die Abfrage wird ausgeführt und im Feld „Abfrageeditor“ angezeigt.

   • Wenn Sie die Abfrage jetzt ausführen und die Ergebnisse streamen möchten, klicken Sie auf Stream.

   • Klicken Sie auf Schließen, um das Dialogfeld zu schließen und zur Liste der vorgeschlagenen Abfragen zurückzukehren.

Nächste Schritte

• Beispielabfragen