Как обрабатывать длинные записи в журнале с помощью разделения журналов

Cloud Logging ограничивает размер входящих журналов до 256 КБ и удаляет все, что превышает этот размер. Чтобы Cloud Logging сохранял большие журналы, Fleet Engine может разбивать их на несколько журналов меньшего размера.

Cloud Logging может разделять следующие журналы Fleet Engine:

Каждая запись в журнале содержит следующие поля:

  • split.uid – уникальный идентификатор группы записей журнала, которые были разделены из общей исходной записи журнала. Значение этого поля одинаково для всех записей, полученных из исходной записи в журнале.
  • split.index: позиция этой записи в серии разделенных записей. Первая запись из разделения имеет индекс 0.split.index. Этот индекс также добавляется в поле LogEntry.insertId.
  • split.totalSplits – количество записей в журнале, на которые была разделена исходная запись в журнале. Значение этого поля одинаково для всех записей, полученных из исходной записи в журнале.
split log 1:
insertId: "XXXX-01"
split {index: 0, uuid: "XXXX"}

splitLog 2:
insertId: "XXX-02"
split {index: 1, uuid: "XXXX"}

Чтобы найти все журналы, которые были выделены из одного конкретного журнала, используйте запрос, подобный следующему:

    split.uid="789+2022-02-22T12:22:22.22+05:00"
    sortby split.index OR sortby insertID

Структура этих разделенных журналов почти такая же, как и структура, показанная в руководстве по журналам аудита Cloud. Основное отличие заключается в том, что для журналов Fleet Engine разделение происходит в поле jsonPayload. Подробные сведения и примеры приведены в разделе Разделение записей в журнале аудита.

Дальнейшие действия

Чтобы подсчитывать и фильтровать журналы по своим критериям, создайте показатели на основе данных журналов.