Facetas de log

Documentos > Log Management > Log Explorer > Facetas de log

Descripción General

Las facetas son etiquetas y atributos definidos por el usuario de sus registros indexados. Están destinadas para el análisis de datos cualitativos o cuantitativos. Como tal, puede usarlas en su Explorador de Registros para:

Las facetas también le permiten manipular sus logs en sus monitores de logs, widgets de logs en tableros y notebooks.

Nota: No necesita facetas para soportar procesamiento de logs, búsqueda en tiempo real, búsqueda en el explorador de logs, generación de métricas a partir de logs, archivado de reenvíos, o rehidratación. Tampoco necesita facetas para enrutar logs a través de Pipelines e Índices con filtros, o excluir o muestrear logs de índices con filtros de exclusión.

En todos estos contextos, las capacidades de autocompletar dependen de las facetas existentes, pero cualquier entrada que coincida con los logs entrantes funcionaría.

Dimensiones

Utiliza facetas cualitativas cuando necesites:

Para obtener información relativa sobre los valores. Por ejemplo, crea una faceta en http.network.client.geoip.country.iso_code para ver los principales países más afectados por el número de errores 5XX en tus registros de acceso web de NGINX, enriquecidos con el Procesador GeoIP de Datadog.
Para contar valores únicos. Por ejemplo, crea una faceta en user.email de tus registros de Kong para saber cuántos usuarios se conectan cada día a tu sitio web.
Para filtrar frecuentemente tus registros contra valores particulares. Por ejemplo, crea una faceta en un environment etiqueta para limitar la solución de problemas a entornos de desarrollo, pruebas o producción.

Nota: Aunque no es necesario crear facetas para filtrar por valores de atributos, definirlas en atributos que usas con frecuencia durante las investigaciones puede ayudar a reducir tu tiempo de resolución.

Tipos

Las facetas cualitativas pueden tener un tipo de cadena o numérico (entero). Mientras que asignar el tipo de cadena a una dimensión funciona en todos los casos, usar tipos enteros en una dimensión permite filtrar por rangos además de todas las capacidades mencionadas anteriormente. Por ejemplo, http.status_code:[200 TO 299] es una consulta válida para usar en una dimensión de tipo entero. Consulta la sintaxis de búsqueda como referencia.

Medidas

Utiliza medidas cuando necesites:

Para agregar valores de múltiples registros. Por ejemplo, crea una medida sobre el tamaño de los mosaicos servidos por la caché de Varnish de un servidor de mapas y lleva un registro del promedio de rendimiento diario, o los referidores más importantes por suma del tamaño de mosaico solicitado.
Para filtrar por rango tus registros. Por ejemplo, crea una medida sobre el tiempo de ejecución de las tareas de Ansible, y observa la lista de servidores que tienen más ejecuciones que tardan más de 10 segundos.
Para ordenar registros en función de ese valor. Por ejemplo, crea una medida sobre la cantidad de pagos realizados con tu microservicio de Python. Luego puedes buscar todos los registros, comenzando con el que tiene la mayor cantidad.

Tipos

Las medidas vienen con un valor de entero (largo) o doble, para capacidades equivalentes.

Unidades

Las medidas soportan unidades en tiempo o tamaño para un manejo más fácil de órdenes de magnitud en el tiempo de consulta y el tiempo de visualización.

tipo	unidad(es)
BYTES	bit / byte / kibibyte / mebibyte / gibibyte / tebibyte / pebibyte / exbibyte
TIEMPO	nanosegundo / microsegundo / milisegundo / segundo / minuto / hora / día / semana

La unidad es una propiedad de la medida misma, no del campo. Por ejemplo, considera una duration medida en nanosegundos: tienes registros de service:A donde duration:1000 representa 1000 milisegundos, y otros registros de service:B donde duration:500 representa 500 microsegundos:

Escala la duración en nanosegundos para todos los registros que fluyen con el procesador aritmético. Usa un *1000000 multiplicador en los registros de service:A, y un *1000 multiplicador en los registros de service:B.
Usa duration:>20ms (ver sintaxis de búsqueda para referencia) para consultar de manera consistente los registros de ambos servicios a la vez, y ver un resultado agregado de max 1 min.

La barra de búsqueda proporciona el conjunto más completo de interacciones para filtrar y agrupar tus datos. Sin embargo, en la mayoría de los casos, el panel de facetas es probablemente una forma más sencilla de navegar por sus datos. Abra una faceta para ver un resumen de su contenido en el contexto de la consulta actual.

Las facetas (cualitativas) vienen con una lista principal de valores únicos y un conteo de registros que coinciden con cada uno de ellos:

Delimite la consulta de búsqueda haciendo clic en cualquiera de los valores. Hacer clic en un valor alterna la búsqueda en este valor único y en todos los valores. Hacer clic en las casillas de verificación agrega o quita este valor específico de la lista de todos los valores; también puede buscar en su contenido:

Las Medidas vienen con un control deslizante que indica valores mínimos y máximos. Utilice el control deslizante o ingrese valores numéricos para delimitar la consulta de búsqueda a diferentes límites.

Su organización tiene una colección completa de facetas para abordar su conjunto integral de casos de uso en todos los diferentes equipos que utilizan registros. Sin embargo, es probable que solo un subconjunto de estas facetas sea valioso para usted en un contexto específico de resolución de problemas. Oculte las facetas que no necesita de manera rutinaria, para mantener solo las facetas más relevantes para sus sesiones de resolución de problemas.

En el Explorador de Registros, encuentre la faceta que desea ocultar.
Haga clic en el ícono de engranaje junto a la faceta.
Seleccione Hide Facet.

Las facetas ocultas aún son visibles en la búsqueda de facetas (vea la sección Filtrar Faceta) en caso de que las necesite. Muestra las facetas ocultas desde allí.

Las facetas ocultas también están ocultas en la autocompletación de la barra de búsqueda y en los menús desplegables (como medida, agrupar) en análisis para el Explorador de Registros. Sin embargo, las facetas ocultas siguen siendo válidas para las consultas de búsqueda (en caso de que copies y pegues un enlace del explorador de registros, por ejemplo).

Las facetas ocultas no tienen impacto aparte del explorador de registros (por ejemplo, cola en vivo, monitores o definiciones de widgets en los tableros).

Ocultar facetas es específico para tu propio contexto de solución de problemas y no afecta la vista de tus compañeros de equipo, a menos que actualices una Vista Guardada. Las facetas ocultas son parte del contexto guardado en una vista guardada.

Las facetas se agrupan en temas significativos para facilitar la navegación en la lista de facetas. Asignar o reasignar un grupo para una faceta solo afecta la visualización en la lista de facetas y no tiene impacto en las capacidades de búsqueda y análisis.

Para agrupar facetas:

Haz clic en el engranaje de la faceta.
Selecciona Edit facet.
Haz clic en la sección Advanced options para expandirla.
En el campo Group, ingrese el nombre del grupo en el que desea que esté la faceta.
Haga clic en Update.

Utilice el cuadro de búsqueda en las facetas para reducir toda la lista de facetas y navegar más rápidamente a la que necesite interactuar. La búsqueda de facetas utiliza tanto el nombre de visualización de la faceta como el nombre del campo de la faceta para limitar los resultados.

Algunas facetas pueden haber sido aliasadas (vea la sección de faceta aliasada). Las facetas aliasadas siguen siendo válidas para segmentar y analizar, pero son consideradas obsoletas por su organización:

Al solucionar problemas, es más probable que encuentre contenido de otros equipos (junto con contenido de su equipo) en la faceta estándar en lugar de la faceta aliasada. Esto hace que la correlación de contenido de diversos orígenes sea más sencilla.

Si ve una faceta aliasada en su lista de facetas, considere usar la faceta estándar en su lugar haciendo clic en el elemento de menú switch to alias. Esta acción oculta la faceta aliasada y muestra la faceta estándar. Si hacerlo le obliga a actualizar una vista guardada, considere guardar la vista guardada para que el aliasing se aplique a todos los que usen esta vista guardada.

Puede que desee mantener la versión no estándar aliasada de la faceta si está solucionando problemas con contenido antiguo (antes de que su organización haya configurado el aliasing para esta faceta).

Las facetas más comunes como Host y Service vienen listas para usar, por lo que puede comenzar a solucionar problemas de inmediato una vez que sus registros fluyan hacia los índices de registro.

Las facetas en Atributos Reservados y la mayoría de los Atributos Estándar están disponibles por defecto.

La faceta de índice es una faceta específica que aparece solo si su organización tiene múltiples índices, y/o si tiene vistas históricas activas. Use esta faceta si desea limitar su consulta a un subconjunto de sus índices.

Como buena práctica, siempre considere usar una faceta existente en lugar de crear una nueva (vea la sección de facetas aliasadas). Usar una faceta única para información de naturaleza similar fomenta la colaboración entre equipos.

Para crear una faceta en un arreglo de objetos JSON, primero utilice un analizador grok para extraer el atributo y luego cree una faceta para ese atributo.

Nota: Una vez que se crea una faceta, su contenido se llena para todos los nuevos registros. Para un uso óptimo de la solución de Gestión de Registros, Datadog recomienda usar como máximo 1000 facetas.

Panel lateral de registros

La forma más fácil de crear una faceta es agregarla desde el panel lateral de registros, donde la mayoría de los detalles de la faceta—como el nombre del campo o el tipo de datos subyacente—ya están prellenados y solo es cuestión de verificarlos. Navegue en el Explorador de Registros hacia el registro de interés que contenga el campo para crear una faceta. Abra el panel lateral para este registro, haga clic en el campo correspondiente (ya sea en etiquetas o en atributos) y cree una faceta desde allí:

Si el campo tiene un valor de cadena, solo está disponible la creación de facetas.
Si el campo tiene un valor numérico, están disponibles tanto la creación de facetas como la de medidas.

Nota: Como mejor práctica, se recomienda no usar más de 1000 facetas.

En caso de que no sea posible encontrar un registro coincidente, cree una nueva faceta directamente desde el panel de facetas usando el botón agregar faceta.

Defina el nombre del campo subyacente (clave) para esta faceta:

Utilice el nombre de clave de etiqueta para etiquetas.
Utilice la ruta del atributo para atributos, con @ prefijo.

La autocompletación basada en el contenido de los registros de las vistas actuales le ayuda a definir el nombre de campo adecuado. Pero puede usar prácticamente cualquier valor aquí, específicamente en el caso de que aún no tenga registros coincidentes fluyendo en sus índices.

Reunir contenido similar bajo una faceta única permite análisis entre equipos y facilita la solución de problemas entre equipos; consulte Convención de Nombres para referencia.

Utilice el alias como una opción para realinear suavemente a los equipos que dependen de convenciones de nombres inconsistentes. Con el alias, puede hacer que todos usen la faceta estándar que surge para su organización.

Esta es la mejor opción si múltiples equipos en su organización ya han creado múltiples facetas para contenido similar.

Al aliasar una faceta aliasada hacia una faceta estándar:

Los usuarios pueden usar tanto facetas aliasadas como estándar para la solución de problemas. Puede preferir la estándar, que facilita la correlación de contenido que fluye de fuentes diversas y posiblemente heterogéneas.
Se sugiere a los usuarios que usen la faceta estándar en lugar de la faceta aliasada.

Para asignar un alias a una faceta estándar, seleccione el elemento de acción Alias to... en el menú de facetas. Elija las facetas de destino de entre todas las estándar que existen para su organización.

Esta es la mejor opción si incorpora registros que fluyen de nuevas fuentes. En lugar de crear una faceta para algún campo en esos registros, y justo después de deprecar esta faceta asignándole un alias a una faceta estándar, asigne el alias del campo directamente a una faceta existente:

Eliminar una faceta que se está utilizando en índices, monitores, tableros, consultas de restricción o por otros equipos puede causar que las configuraciones se rompan.

Para eliminar una faceta, siga estos pasos: