Обработка длинных записей журнала с помощью разделенных журналов

Cloud Logging ограничивает размер входящих журналов до 256 КБ и отбрасывает все, что больше. Чтобы гарантировать, что Cloud Logging сохранит ваши большие журналы, Fleet Engine может разбить их на серию журналов меньшего размера.

Облачное ведение журнала может разделять следующие журналы из Fleet Engine:

Каждая разделенная запись журнала содержит следующие поля:

  • split.uid : Уникальный идентификатор для группы записей журнала, которые были отделены от общей исходной записи журнала. Значение этого поля одинаково для всех записей, отделенных от исходной записи журнала.
  • split.index : Позиция этой записи в серии разделенных записей. Первая запись из разделения имеет индекс 0.split.index . Этот индекс также добавляется к полю LogEntry.insertId .
  • split.totalSplits : Количество записей журнала, на которые была разделена исходная запись журнала. Значение этого поля одинаково для всех записей, разделенных из исходной записи журнала. 
split log 1:
insertId: "XXXX-01"
split {index: 0, uuid: "XXXX"}

splitLog 2:
insertId: "XXX-02"
split {index: 1, uuid: "XXXX"}

Чтобы найти все журналы, которые были отделены от одного конкретного журнала, используйте такой запрос:

    split.uid="789+2022-02-22T12:22:22.22+05:00"
    sortby split.index OR sortby insertID

Структура этих разделенных журналов почти такая же, как структура, показанная в руководстве для журналов аудита облака. Главное отличие в том, что для журналов Fleet Engine разделение происходит в поле jsonPayload . Подробности и примеры см. в разделе Записи журнала аудита разделения .

Что дальше?

Чтобы подсчитывать и фильтровать журналы по вашим критериям, создайте метрики на основе журналов .