内蔵のログ解析ルール

New Relic は組み込みのルールに従って一般的なログ形式を解析できるため、独自の解析ルールを作成する必要はありません。ログ解析ルール、 Grokパターン、および解析されるフィールドは次のとおりです。

構文解析の例

良い例は、非構造化テキストを含むデフォルトの NGINX アクセスログです。検索には便利ですが、それ以外はあまり役に立ちません。典型的な行の例を次に示します。

127.180.71.3 - - [10/May/1997:08:05:32 +0000] "GET /downloads/product_1 HTTP/1.1" 304 0 "-" "Debian APT-HTTP/1.3 (0.8.16~exp12ubuntu10.21)"

解析されていない形式では、ほとんどの質問に答えるために全文検索を行う必要があります。解析後、ログはresponse codeやrequest URLなどの属性に整理されます。

{
  "remote_addr": "93.180.71.3",
  "time": "1586514731",
  "method": "GET",
  "path": "/downloads/product_1",
  "version": "HTTP/1.1",
  "response": "304",
  "bytesSent": 0,
  "user_agent": "Debian APT-HTTP/1.3 (0.8.16~exp12ubuntu10.21)"
}

解析により、これらの値をファセットするカスタムクエリを簡単に作成できます。これは、リクエストURLごとの応答コードの分布を理解し、問題のあるページをすばやく見つけるのに役立ちます。

追加する `logtype`

ログを集約する際には、ログの整理、検索、解析を容易にするメタデータを提供することが重要です。これを行う簡単な方法の 1 つは、出荷時にログメッセージにプロパティlogtypeを追加することです。組み込みの解析ルールは、特定のlogtype値にデフォルトで適用されます。

ヒント

フィールドlogType 、 logtype 、およびLOGTYPEはすべて、組み込みルールでサポートされています。検索を容易にするために、組織内の単一の構文に合わせるようにすることをお勧めします。

サポートされている配送方法のいくつかによって送信されたログにlogtypeを追加する方法の例を次に示します。

logtypeをattribute として追加します。名前付きソースごとにログタイプを設定する必要があります。

logs:
  - name: file-simple
    file: /path/to/file
    attributes:
      logtype: fileRaw
  - name: nginx-example
    file: /var/log/nginx.log
    attributes:
      logtype: nginx

.confファイルにフィルターブロックを追加します。このブロックでは、 record_transformerを使用して新しいフィールドを追加します。この例では、 nginxのlogtypeを使用して、組み込みの NGINX 解析ルールをトリガーします。他のFluentd の例を確認してください。

<filter containers>
  @type record_transformer
  enable_ruby true
  <record>
    #Add logtype to trigger a built-in parsing rule for nginx access logs
    logtype nginx
    #Set timestamp from the value contained in the field "time"
    timestamp record["time"]
    #Add hostname and tag fields to all records
    hostname "#{Socket.gethostname}"
    tag ${tag}
  </record>
</filter>

record_modifierを使用して新しいフィールドを追加するフィルターブロックを.confファイルに追加します。この例では、 nginxのlogtypeを使用して、組み込みのNGINX解析ルールをトリガーします。他のFluentBitの例を確認してください。

[FILTER]
    Name   record_modifier
    Match  *
    Record logtype nginx
    Record hostname ${HOSTNAME}
    Record service_name Sample-App-Name

add_field変異フィルターを使用して新しいフィールドを追加するLogstash構成にフィルターブロックを追加します。この例では、 logtypeのnginxを使用して、組み込みのNGINX解析ルールをトリガーします。他のLogstashの例を確認してください。

filter {
  mutate {
    add_field => {
      "logtype" => "nginx"
      "service_name" => "myservicename"
      "hostname" => "%{host}"
    }
  }
}

NewRelicに送信されるJSONリクエストに属性を追加できます。この例では、値nginxのlogtype属性を追加して、組み込みのNGINX解析ルールをトリガーします。 LogsAPIの使用の詳細をご覧ください。

POST /log/v1 HTTP/1.1
Host: log-api.newrelic.com
Content-Type: application/json
X-License-Key: YOUR_LICENSE_KEY
Accept: */*
Content-Length: 133
{
  "timestamp": TIMESTAMP_IN_UNIX_EPOCH,
  "message": "User 'xyz' logged in",
  "logtype": "nginx",
  "service": "login-service",
  "hostname": "login.example.com"
}

プログラムで解析ルールを管理するには、GraphQL形式のAPIであるNerdGraphを api.newrelic.com/graphiql でご利用いただけます。詳細については、 NerdGraph チュートリアルを参照して、解析ルールの作成、照会、削除を行ってください。

Source: logtype = 'apache'

Grok:

%{IPORHOST:clientip} %{USER:ident} %{USER:auth} \[%{HTTPDATE:timestamp}\] "(?:%{WORD:verb} %{NOTSPACE:request}(?: HTTP/%{NUMBER:httpversion})?|%{DATA:rawrequest})" %{NUMBER:response} (?:%{NUMBER:bytes}|-) %{QS:referrer} %{QS:agent}

Results:

clientip：クライアントのIPアドレス。
verb：HTTP動詞
ident：リクエストを行うクライアントのユーザーID
response：応答のHTTPステータスコード
request：作成中のURIとリクエスト
httpversion：リクエストのHTTPバージョン
rawrequest：データが投稿された場合の生のHTTPリクエスト
bytes：送信されたバイト数
referrer：HTTPリファラー
agent：クライアントのユーザーエージェント

Source: logtype = 'apache_error'

Grok:

\[%{DATA:apache_error.timestamp}\] \[%{WORD:apache_error.source}:%{DATA:level}\] \[pid %{NUMBER:apache_error.pid}(:tid %{NUMBER:apache_error.tid})?\] (%{DATA:apache_error.sourcecode}\(%{NUMBER:apache_error.linenum}\): )?(?:\[client %{IPORHOST:apache_error.clientip}:%{POSINT:apache_error.port}\] ){0,1}%{GREEDYDATA:apache_error.message}

Results:

apache_error.timestamp：ログステートメントのタイムスタンプ
apache_error.source：ソースモジュール
level：ログレベル
apache_error.pid：apache PID（プロセス識別子）
apache_error.tid：apache TID（スレッド識別子）
apache_error.sourcecode：apacheソースコード
apache_error.linenum：ソースコードの行番号
apache_error.clientip：クライアントのIPアドレス
apache_error.port：クライアントIPポート番号
apache_error.message：エラーメッセージ

Source: logtype = 'alb'

Grok:

^%{NOTSPACE:type} %{TIMESTAMP_ISO8601:time} %{NOTSPACE:elb} %{NOTSPACE:client_ip}:%{NOTSPACE:client_port} ((%{NOTSPACE:target_ip}:%{NOTSPACE:target_port})|-) %{NOTSPACE:request_processing_time} %{NOTSPACE:target_processing_time} %{NOTSPACE:response_processing_time} %{NOTSPACE:elb_status_code} %{NOTSPACE:target_status_code} %{NOTSPACE:received_bytes} %{NOTSPACE:sent_bytes} "%{DATA:request}" "%{DATA:user_agent}" %{NOTSPACE:ssl_cipher} %{NOTSPACE:ssl_protocol} %{NOTSPACE:target_group_arn} "%{DATA:trace_id}" "%{NOTSPACE:domain_name}" "%{NOTSPACE:chosen_cert_arn}" %{NOTSPACE:matched_rule_priority} %{TIMESTAMP_ISO8601:request_creation_time} "%{NOTSPACE:actions_executed}" "%{NOTSPACE:redirect_url}" "%{NOTSPACE:error_reason}" (?:"|)%{DATA:target_port_list}(?:"|) (?:"|)%{DATA:target_status_code_list}(?:"|) "%{NOTSPACE:classification}" "%{NOTSPACE:classification_reason}"

Results:

フィールド	定義
`type`	リクエストまたはコネクションのタイプです。可能な値は `http`：HTTP `https`：HTTP over SSL / TLS `h2`：SSL/TLSを介したHTTP/2 `ws`：WebSocket `wss`：SSL/TLSを介したWebSocket
`elb`	ロードバランサーのリソースID。アクセスログエントリを解析する場合は、リソースIDにスラッシュ（ `/` ）を含めることができることに注意してください。
`client_ip`	要求しているクライアントのIPアドレス
`client_port`	要求元のクライアントのIPポート
`target_ip`	このリクエストを処理したターゲットのIPアドレス。クライアントが完全なリクエストを送信しなかった場合、ロードバランサーはリクエストをターゲットにディスパッチできず、この値は`-`に設定されます。ターゲットがLambda関数の場合、この値は`-`に設定されます。リクエストがAWSWAFによってブロックされている場合、この値は`-`に設定され、 `elb_status_code`の値は`403`に設定されます。
`target_port`	このリクエストを処理したターゲットのIPポート。クライアントが完全なリクエストを送信しなかった場合、ロードバランサーはリクエストをターゲットにディスパッチできず、この値は`-`に設定されます。ターゲットがLambda関数の場合、この値は`-`に設定されます。リクエストがAWSWAFによってブロックされている場合、この値は`-`に設定され、 `elb_status_code`の値は`403`に設定されます。
`target_port_list`	このリクエストを処理したターゲットのIPアドレスとポート。クライアントが完全なリクエストを送信しなかった場合、ロードバランサーはリクエストをターゲットにディスパッチできず、この値は`-`に設定されます。ターゲットがLambda関数の場合、この値は`-`に設定されます。リクエストがAWSWAFによってブロックされている場合、この値は`-`に設定され、 `elb_status_code`の値は`403`に設定されます。
`request_processing_time`	ロードバランサーがリクエストを受信してからターゲットに送信するまでの経過時間の合計（秒単位、ミリ秒の精度）。ロードバランサーがリクエストをターゲットにディスパッチできない場合、この値は`-1`に設定されます。これは、アイドルタイムアウトの前にターゲットが接続を閉じた場合、またはクライアントが不正な形式の要求を送信した場合に発生する可能性があります。登録されたターゲットがアイドルタイムアウトの前に応答しない場合、この値を`-1`に設定することもできます。
`target_processing_time`	ロードバランサーがターゲットにリクエストを送信してから、ターゲットがレスポンスヘッダーの送信を開始するまでの経過時間の合計（秒単位、ミリ秒の精度）。ロードバランサーがリクエストをターゲットにディスパッチできない場合、この値は`-1`に設定されます。これは、アイドルタイムアウトの前にターゲットが接続を閉じた場合、またはクライアントが不正な形式の要求を送信した場合に発生する可能性があります。登録されたターゲットがアイドルタイムアウトの前に応答しない場合、この値を`-1`に設定することもできます。
`response_processing_time`	ロードバランサーがターゲットからレスポンスヘッダーを受信してから、クライアントへのレスポンスの送信を開始するまでに経過した時間の合計（秒単位、ミリ秒の精度）。ロードバランサーでのキューイング時間と、ロードバランサーからクライアントへの接続取得時間の両方が含まれます。ロードバランサーがターゲットにリクエストを送信できない場合、この値は`-1`に設定されます。これは、アイドルタイムアウトの前にターゲットが接続を閉じた場合、またはクライアントが不正な形式の要求を送信した場合に発生する可能性があります。
`elb_status_code`	ロードバランサーからのレスポンスのステータスコード
`target_status_code_list`	ターゲットからの応答のステータスコード。この値は、ターゲットへの接続が確立され、ターゲットが応答を送信した場合にのみ記録されます。それ以外の場合は、 `-`に設定されます。
`received_bytes`	クライアント（リクエスター）から受け取ったリクエストのサイズをバイト単位で表したもの。HTTPリクエストの場合、これにはヘッダーが含まれます。WebSocketの場合は、接続中のクライアントから受信したバイト数の合計です。
`sent_bytes`	クライアント（リクエスター）に送信されるレスポンスのサイズ（バイト）。HTTP リクエストの場合は、ヘッダーを含みます。WebSocket の場合は、接続中のクライアントに送信されたバイト数の合計です。
`request`	HTTPリクエスト
`user_agent`	二重引用符で囲まれた、リクエストを発信したクライアントを識別するUser-Agent文字列。この文字列は、1つまたは複数の製品識別子、製品/バージョンで構成されます。文字列の長さが8KBを超える場合は、切り捨てられます。
`ssl_cipher`	SSL暗号。リスナーがHTTPSリスナーでない場合、この値は`-`に設定されます。
`ssl_protocol`	SSLプロトコル。リスナーがHTTPSリスナーでない場合、この値は`-`に設定されます。
`target_group_arn`	対象グループのAmazon Resource Name (ARN)
`trace_id`	二重引用符で囲まれた`X-Amzn-Trace-Id header`の内容
`domain_name`	TLSハンドシェイク中にクライアントによって提供されたSNIドメインで、二重引用符で囲まれています。クライアントがSNIをサポートしていない場合、またはドメインが証明書と一致せず、デフォルトの証明書がクライアントに提示される場合、この値は`-`に設定されます。
`chosen_cert_arn`	クライアントに提示する証明書のARNを二重引用符で囲んだもの。セッションを再利用する場合は`session-reused`に設定してください。リスナーがHTTPSリスナーでない場合は、 `-`に設定します。
`matched_rule_priority`	リクエストにマッチしたルールの優先度の値。ルールが一致した場合、これは`1`から`50000`までの値です。一致するルールがなく、デフォルトのアクションが実行された場合、この値は`0`に設定されます。ルールの評価中にエラーが発生した場合は、 `-1`に設定されます。その他のエラーの場合は、 `-`に設定されます。
`request_creation_time`	ロードバランサーがクライアントからのリクエストを受信した時間（ISO 8601形式）。
`actions_executed`	リクエストの処理時に実行されるアクション。二重引用符で囲まれています。この値は、 `actions_taken`で説明されている値を含めることができるコンマ区切りのリストです。不正な形式のリクエストなど、アクションが実行されなかった場合、この値は`-`に設定されます。
`redirect_url`	二重引用符で囲まれた、HTTP応答のロケーションヘッダーのリダイレクトターゲットのURL。リダイレクトアクションが実行されなかった場合、この値は`-`に設定されます。
`error_reason`	二重引用符で囲まれたエラー理由コード。リクエストが失敗した場合は、「エラー理由コード」に記載されているエラーコードのいずれかになります。実行されるアクションに認証アクションが含まれていない場合、またはターゲットがLambda関数でない場合、この値は`-`に設定されます。
`classification`	分類。
`classification_reason`	分類理由。

ソース： logtype = 'cassandra'

Grok

%{WORD:level}%{SPACE}\\[%{NOTSPACE:cassandra.thread}\\] %{TIMESTAMP_ISO8601:cassandra.timestamp} %{NOTSPACE:cassandra.source}:%{INT:cassandra.line.number} - %{GREEDYDATA:cassandra.message}

結果

level：メッセージのログレベル（すべて、トレース、デバッグ、情報、警告、エラー、オフ）
cassandra.thread：ログステートメントを発行するスレッドの名前
cassandra.timestamp：ログステートメントのタイムスタンプ
cassandra.source：ソースファイル名
cassandra.line.number：メッセージの行番号
cassandra.message：生のカサンドラメッセージ

Source: logtype = 'cloudfront-web'

Grok:

^%{NOTSPACE:date}%{SPACE}%{NOTSPACE:time}%{SPACE}%{NOTSPACE:x_edge_location}%{SPACE}%{NOTSPACE:sc_bytes}%{SPACE}%{NOTSPACE:c_ip}%{SPACE}%{NOTSPACE:cs_method}%{SPACE}%{NOTSPACE:cs_host}%{SPACE}%{NOTSPACE:cs_uri_stem}%{SPACE}%{NOTSPACE:sc_status}%{SPACE}%{NOTSPACE:cs_referer}%{SPACE}%{NOTSPACE:cs_user_agent}%{SPACE}%{NOTSPACE:cs_uri_query}%{SPACE}%{NOTSPACE:cs_Cookie}%{SPACE}%{NOTSPACE:x_edge_result_type}%{SPACE}%{NOTSPACE:x_edge_request_id}%{SPACE}%{NOTSPACE:x_host_header}%{SPACE}%{NOTSPACE:cs_protocol}%{SPACE}%{NOTSPACE:cs_bytes}%{SPACE}%{NOTSPACE:time_taken}%{SPACE}%{NOTSPACE:x_forwarded_for}%{SPACE}%{NOTSPACE:ssl_protocol}%{SPACE}%{NOTSPACE:ssl_cipher}%{SPACE}%{NOTSPACE:x_edge_response_result_type}%{SPACE}%{NOTSPACE:cs_protocol_version}%{SPACE}%{NOTSPACE:fle_status}%{SPACE}%{NOTSPACE:fle_encrypted_fields}%{SPACE}%{NOTSPACE:c_port}%{SPACE}%{NOTSPACE:time_to_first_byte}%{SPACE}%{NOTSPACE:x_edge_detailed_result_type}%{SPACE}%{NOTSPACE:sc_content_type}%{SPACE}%{NOTSPACE:sc_content_len}%{SPACE}%{NOTSPACE:sc_range_start}%{SPACE}%{NOTSPACE:sc_range_end}

Results:

フィールド	定義
`x_edge_location`	リクエストを処理したエッジの場所。各エッジの位置は、3文字のコードと任意に割り当てられた番号によって識別されます。たとえば、 `DFW3` 。この3文字のコードは、通常、エッジの位置の近くにある空港の国際航空運送協会の空港コードに対応しています。(これらの略語は将来的に変更される可能性があります）。
`sc_bytes`	ヘッダーを含む、リクエストに応答してCloudFrontがビューアに提供した合計バイト数。たとえば、 `1045619` 。 WebSocket接続の場合、これは接続を介してサーバーからクライアントに送信される合計バイト数です。
`c_ip`	IPv4またはIPv6形式のいずれかで要求を行ったビューアのIPアドレス。ビューアがHTTPプロキシまたはロードバランサを使用してリクエストを送信した場合、 `c_ip`の値はプロキシまたはロードバランサのIPアドレスです。 `X-Forwarded-For`も参照してください。
`cs_method`	HTTPリクエストメソッド： `DELETE` 、 `GET` 、 `HEAD` 、 `OPTIONS` 、 `PATCH` 、 `POST` 、または`PUT` 。
`cs_host`	CloudFrontディストリビューションのドメイン名。たとえば、 `d111111abcdef8.cloudfront.net` 。
`cs_uri_stem`	パスとオブジェクトを識別するURIの部分。たとえば、 `/images/cat.jpg` 。 URLとクエリ文字列の疑問符は含まれていません。
`sc_status`	HTTPステータスコード。たとえば、 `200` 。ステータスコード`000`は、CloudFrontがリクエストに応答する前に、ビューアが接続を閉じた（たとえば、ブラウザタブを閉じた）ことを示します。 CloudFrontがレスポンスの送信を開始した後にビューアが接続を閉じると、ログには該当するHTTPステータスコードが含まれます。
`cs_referer`	リクエストを発信したドメインの名前です。一般的なリファラーには、検索エンジン、あなたのオブジェクトに直接リンクしている他のウェブサイト、あなた自身のウェブサイトなどがあります。
`cs_user_agent`	リクエストのUser-Agentヘッダーの値です。User-Agentヘッダーは、リクエストを送信したデバイスやブラウザの種類、該当する場合はどの検索エンジンかなど、リクエストの送信元を特定するものです。
`cs_uri_query`	URIのクエリ文字列部分（存在する場合）。 URIにクエリ文字列が含まれていない場合、このフィールドの値はハイフン（ `-` ）です。
`cs_cookie`	名前と値のペアと関連する属性を含む、リクエストのクッキーヘッダ。クッキーのロギングを有効にすると、お客様がどのクッキーをオリジンに転送するかに関わらず、CloudFrontはすべてのリクエストでクッキーをロギングします。リクエストにCookieヘッダーが含まれていない場合、このフィールドの値はハイフン（ `-` ）です。
`x_edge_result_type`	最後のバイトがエッジロケーションを離れた後、CloudFrontがレスポンスをどのように分類するか。場合によっては、CloudFrontがレスポンスを送信する準備ができてから、CloudFrontがレスポンスの送信を終了するまでの間に、結果タイプが変更されることがあります。
`x_edge_request_id`	リクエストを一意に識別する暗号化された文字列。応答ヘッダーでは、これは`x-amz-cf-id`です。
`x_host_header`	視聴者がこのリクエストのHostヘッダーに含めた値です。これは、リクエストのドメイン名です。オブジェクトのURLにCloudFrontのドメイン名を使用している場合、このフィールドにはそのドメイン名が含まれます。オブジェクトURLで`http://example.com/logo.png`などの代替ドメイン名を使用している場合、このフィールドには`example.com`などの代替ドメイン名が含まれます。代替ドメイン名を使用するには、それらをディストリビューションに追加する必要があります。
`cs_protocol`	ビューアがリクエストで指定したプロトコル： `http` 、 `https` 、 `ws` 、または`wss` 。
`cs_bytes`	視聴者がリクエストに含めたデータのバイト数（ヘッダーを含む）です。WebSocket接続の場合は、その接続でクライアントからサーバーに送信されたバイト数の合計です。
`time_taken`	CloudFrontエッジサーバーが視聴者のリクエストを受信してから、CloudFrontがレスポンスの最後のバイトをエッジサーバーの出力キューに書き込むまでの秒数（1000分の1秒単位、例えば0.002）をサーバー上で計測したものです。視聴者から見ると、ネットワークの遅延やTCPのバッファリングにより、完全なオブジェクトを取得するまでの総時間はこの値よりも長くなります。
`x_forwarded_for`	ビューアがHTTPプロキシまたはロードバランサを使用してリクエストを送信した場合、フィールド5の`c_ip`の値はプロキシまたはロードバランサのIPアドレスです。その場合、このフィールドはリクエストを発信したビューアのIPアドレスです。このフィールドには、必要に応じてIPv4アドレスとIPv6アドレスが含まれます。ビューアがHTTPプロキシまたはロードバランサを使用しなかった場合、 `x_forwarded_for`の値はハイフン（ `-` ）です。
`ssl_protocol`	フィールド17の`cs_protocol`が`https`の場合、このフィールドには、クライアントとCloudFrontがリクエストとレスポンスを送信するためにネゴシエートしたSSL/TLSプロトコルが含まれます。可能な値は次のとおりです。 SSLv3 TLSv1 TLSv1.1 TLSv1.2 フィールド17の`cs_protocol`が`http`の場合、このフィールドの値はハイフン（ `-` ）です。
`ssl_cipher`	フィールド17の`cs_protocol`が`https`の場合、このフィールドには、クライアントとCloudFrontがリクエストとレスポンスを暗号化するためにネゴシエートしたSSL/TLS暗号が含まれます。可能な値は次のとおりです。 `ECDHE-RSA-AES128-GCM-SHA256` `ECDHE-RSA-AES128-SHA256` `ECDHE-RSA-AES128-SHA` `ECDHE-RSA-AES256-GCM-SHA384` `ECDHE-RSA-AES256-SHA384` `ECDHE-RSA-AES256-SHA` `AES128-GCM-SHA256` `AES256-GCM-SHA384` `AES128-SHA256` `AES256-SHA` `AES128-SHA` `DES-CBC3-SHA` `RC4-MD5` フィールド17の`cs_protocol`が`http`の場合、このフィールドの値はハイフン（ `-` ）です。
`x_edge_response_result_type`	視聴者にレスポンスを返す直前に、CloudFrontがレスポンスをどのように分類したか。可能な値は以下の通りです。 `Hit`：CloudFrontは、エッジキャッシュからビューアーにオブジェクトを提供しました。 `RefreshHit`：CloudFrontはエッジキャッシュでオブジェクトを検出しましたが、有効期限が切れていたため、CloudFrontはオリジンに連絡して、キャッシュに最新バージョンのオブジェクトがあることを確認しました。 `Miss`：エッジキャッシュ内のオブジェクトがリクエストを満たせなかったため、CloudFrontはリクエストをオリジンサーバーに転送し、結果をビューアに返しました。 `LimitExceeded`：CloudFrontの制限を超えたため、リクエストは拒否されました。 `CapacityExceeded`：リクエスト時にエッジロケーションにオブジェクトを提供するのに十分な容量がなかったため、CloudFrontは`503`エラーを返しました。 `Error`：通常、これは、リクエストの結果、クライアントエラー（ `sc_status`は`4xx` ）またはサーバーエラー（ `sc_status`は`5xx` ）が発生したことを意味します。 `x_edge_result_type`の値が`Error`で、このフィールドの値が`Error`でない場合、クライアントはダウンロードを完了する前に切断します。 `Redirect`：CloudFrontはHTTPからHTTPSにリダイレクトします。 `sc_status`が`403`で、コンテンツの地理的分散を制限するようにCloudFrontを設定した場合、リクエストは制限された場所から送信された可能性があります。
`cs_protocol_version`	視聴者がリクエストで指定したHTTPバージョン。可能な値は以下の通りです。 `HTTP/0.9` `HTTP/1.0` `HTTP/1.1` `HTTP/2.0`
`fle_status`	ディストリビューションにフィールドレベルの暗号化が設定されている場合、このフィールドには、リクエストボディが正常に処理されたかどうかを示すコードが含まれます。フィールドレベルの暗号化が配布用に構成されていない場合、値はハイフン（ `-` ）です。
`fle-encrypted-fields`	CloudFrontが暗号化してオリジンに転送したフィールドの数。 CloudFrontは、データを暗号化するときに処理されたリクエストをオリジンにストリーミングするため、 `fle-status`の値がエラーであっても`fle-encrypted-fields`は値を持つことができます。フィールドレベルの暗号化が配布用に構成されていない場合、 `fle-encrypted-fields`の値はハイフン（ `-` ）です。
`c_port`	視聴者からのリクエストのポート番号。
`time_to_first_byte`	リクエストを受信してからレスポンスの最初のバイトを書き込むまでの秒数で、サーバー上で計測されます。
`x_edge_detailed_result_type`	`x-edge-result-type` is not `Error`の場合、このフィールドには`x-edge-result-type`と同じ値が含まれます。 `x-edge-result-type` is `Error`の場合、このフィールドには特定のタイプのエラーが含まれます。
`sc_content_type`	レスポンスのHTTP Content-Typeヘッダーの値です。
`sc_content_len`	レスポンスの HTTP Content-Length ヘッダの値です。
`sc_range_start`	レスポンスに HTTP Content-Range ヘッダーが含まれている場合、このフィールドにはレンジの開始値が含まれます。
`sc-range-end`	レスポンスに HTTP Content-Range ヘッダーが含まれている場合、このフィールドには range end の値が格納されます。

Source: logtype = 'cloudfront-rtl'

Grok:

^%{NOTSPACE:timestamp}.\d{3}%{SPACE}%{NOTSPACE:c_ip}%{SPACE}%{NOTSPACE:time_to_first_byte}%{SPACE}%{NOTSPACE:sc_status}%{SPACE}%{NOTSPACE:sc_bytes}%{SPACE}%{NOTSPACE:cs_method}%{SPACE}%{NOTSPACE:cs_protocol}%{SPACE}%{NOTSPACE:cs_host}%{SPACE}%{NOTSPACE:cs_uri_stem}%{SPACE}%{NOTSPACE:cs_bytes}%{SPACE}%{NOTSPACE:x_edge_location}%{SPACE}%{NOTSPACE:x_edge_request_id}%{SPACE}%{NOTSPACE:x_host_header}%{SPACE}%{NOTSPACE:time_taken}%{SPACE}%{NOTSPACE:cs_protocol_version}%{SPACE}%{NOTSPACE:cs_ip_version}%{SPACE}%{NOTSPACE:cs_user_agent}%{SPACE}%{NOTSPACE:cs_referer}%{SPACE}%{NOTSPACE:cs_cookie}%{SPACE}%{NOTSPACE:cs_uri_query}%{SPACE}%{NOTSPACE:x_edge_response_result_type}%{SPACE}%{NOTSPACE:x_forwarded_for}%{SPACE}%{NOTSPACE:ssl_protocol}%{SPACE}%{NOTSPACE:ssl_cipher}%{SPACE}%{NOTSPACE:x_edge_result_type}%{SPACE}%{NOTSPACE:fle_encrypted_fields}%{SPACE}%{NOTSPACE:fle_status}%{SPACE}%{NOTSPACE:sc_content_type}%{SPACE}%{NOTSPACE:sc_content_len}%{SPACE}%{NOTSPACE:sc_range_start}%{SPACE}%{NOTSPACE:sc_range_end}%{SPACE}%{NOTSPACE:c_port}%{SPACE}%{NOTSPACE:x_edge_detailed_result_type}%{SPACE}%{NOTSPACE:c_country}%{SPACE}%{NOTSPACE:cs_accept_encoding}%{SPACE}%{NOTSPACE:cs_accept}%{SPACE}%{NOTSPACE:cache_behavior_path_pattern}%{SPACE}%{NOTSPACE:cs_headers}%{SPACE}%{NOTSPACE:cs_header_names}%{SPACE}%{NOTSPACE:cs_headers_count}$

Results:

フィールド	定義
`timestamp`	エッジサーバーが要求への応答を終了した日時。
`c_ip`	リクエストを行ったビューアーの IP アドレス (例: `192.0.2.183`または`2001:0db8:85a3:0000:0000:8a2e:0370:7334` 。ビューアが HTTP プロキシまたはロードバランサを使用してリクエストを送信した場合、このフィールドの値はプロキシまたはロードバランサの IP アドレスになります。`x-forwarded-for`フィールドも参照してください。
`time_to_first_byte`	リクエストを受信してからレスポンスの最初のバイトを書き込むまでの秒数で、サーバー上で計測されます。
`sc_status`	HTTPステータスコード。たとえば、 `200` 。ステータスコード`000`は、CloudFrontがリクエストに応答する前に、ビューアが接続を閉じた（たとえば、ブラウザタブを閉じた）ことを示します。 CloudFrontがレスポンスの送信を開始した後にビューアが接続を閉じると、ログには該当するHTTPステータスコードが含まれます。
`sc_bytes`	リクエストに応じてサーバーがビューアに送信した合計バイト数 (ヘッダーを含む)。WebSocket 接続の場合、これは接続を通じてサーバーからクライアントに送信された合計バイト数です。
`cs_method`	ビューアから受け取った HTTP リクエストメソッド。
`cs_protocol`	ビューアー要求のプロトコル (http、https、ws、または wss)。
`cs_host`	ビューアがリクエストの Host ヘッダーに含めた値。オブジェクト URL で CloudFront ドメイン名を使用している場合 (d111111abcdef8.cloudfront.net など)、このフィールドにはそのドメイン名が含まれています。オブジェクト URL ( www.example.comなど) で代替ドメイン名 (CNAME) を使用している場合、このフィールドには代替ドメイン名が含まれます。
`cs_uri_stem`	クエリ文字列 (存在する場合) を含むが、ドメイン名を含まない、要求 URL 全体。たとえば、 `/images/cat.webp?mobile=true` .
`cs_bytes`	ビューアーがリクエストに含めたデータの合計バイト数 (ヘッダーを含む)。WebSocket 接続の場合、これは接続でクライアントからサーバーに送信された合計バイト数です。
`x_edge_location`	リクエストを処理したエッジロケーション。各エッジ位置は、3 文字のコードと任意に割り当てられた番号 (DFW3 など) によって識別されます。通常、3 文字のコードは、エッジロケーションの地理的位置に近い空港の国際航空運送協会 (IATA) の空港コードに対応します。(これらの略語は将来変更される可能性があります。)
`x_edge_request_id`	最後のバイトがエッジロケーションを離れた後、CloudFrontがレスポンスをどのように分類するか。場合によっては、CloudFrontがレスポンスを送信する準備ができてから、CloudFrontがレスポンスの送信を終了するまでの間に、結果タイプが変更されることがあります。
`x_edge_request_id`	リクエストを一意に識別する不透明な文字列。CloudFront は、この文字列も x-amz-cf-id 応答ヘッダーで送信します。
`x_host_header`	CloudFront ディストリビューションのドメイン名 (例: `d111111abcdef8.cloudfront.net` )。
`time_taken`	サーバーで測定された、サーバーがビューアーの要求を受信してから、サーバーが応答の最後のバイトを出力キューに書き込むまでの秒数 (1000 分の 1 秒、たとえば 0.082)。ビューアの観点からは、完全な応答を取得するための合計時間は、ネットワークの遅延と TCP バッファリングのために、この値よりも長くなります。
`cs_protocol_version`	ビューアがリクエストで指定した HTTP バージョン。可能な値には、 `HTTP/0.9` 、 `HTTP/1.0` 、 `HTTP/1.1` 、 `HTTP/2.0` 、および`HTTP/3.0`が含まれます。
`c_ip_version`	リクエストの IP バージョン (IPv4 または IPv6)。
`cs_user_agent`	リクエストの User-Agent ヘッダーの値。User-Agent ヘッダーは、リクエストを送信したデバイスとブラウザのタイプ、またはリクエストが検索エンジンから来た場合はどの検索エンジンかなど、リクエストのソースを識別します。
`cs_referer`	リクエストの Referer ヘッダーの値。これは、リクエストを発信したドメインの名前です。一般的なリファラーには、検索エンジン、オブジェクトに直接リンクする他の Web サイト、および独自の Web サイトが含まれます。
`cs_cookie`	名前と値のペアおよび関連する属性を含む、リクエスト内の Cookie ヘッダー。
`cs_uri_query`	リクエスト URL のクエリ文字列部分 (存在する場合)。
`x_edge_response_result_type`	サーバーが応答をビューアに返す直前にどのように分類したか。x-edge-result-type フィールドも参照してください。可能な値は次のとおりです。 `Hit`: サーバーはオブジェクトをキャッシュからビューアに提供しました。 `RefreshHit`: サーバーはキャッシュ内にオブジェクトを見つけましたが、オブジェクトの有効期限が切れていたため、サーバーはオリジンに連絡して、キャッシュにオブジェクトの最新バージョンがあることを確認しました。 `Miss`: キャッシュ内のオブジェクトで要求を満たすことができなかったため、サーバーは要求をオリジンサーバーに転送し、結果をビューアーに返しました。 `LimitExceeded`: CloudFront クォータ (以前は制限と呼ばれていました) を超えたため、リクエストは拒否されました `CapacityExceeded`: サーバーは、要求時にオブジェクトを提供するのに十分な容量がなかったため、503 エラーを返しました。 `Error`: 通常、これは、リクエストによってクライアントエラー (sc-status フィールドの値が 4xx の範囲内) またはサーバーエラー (sc-status フィールドの値が 5xx の範囲内) が発生したことを意味します。x-edge-result-type フィールドの値が Error で、このフィールドの値が Error でない場合、クライアントはダウンロードを完了する前に切断されました。 `Redirect`: サーバーは、配信設定に従って、ビューアを HTTP から HTTPS にリダイレクトしました。
`x_forwarded_for`	ビューアが HTTP プロキシまたはロードバランサを使用してリクエストを送信した場合、c-ip フィールドの値はプロキシまたはロードバランサの IP アドレスです。その場合、このフィールドはリクエストを発信したビューアの IP アドレスです。このフィールドには、IPv4 アドレス (例: `192.0.2.183` ) または IPv6 アドレス (例: `2001:0db8:85a3:0000:0000:8a2e:0370:7334` ) が含まれます。
`ssl_protocol`	リクエストで HTTPS が使用された場合、このフィールドには、ビューアとサーバーがリクエストとレスポンスを送信するためにネゴシエートした SSL/TLS プロトコルが含まれます。
`ssl_cipher`	リクエストが HTTPS を使用した場合、このフィールドには、ビューアとサーバーがリクエストとレスポンスを暗号化するためにネゴシエートした SSL/TLS 暗号が含まれます。
`x_edge_result_type`	最後のバイトがサーバーを離れた後、サーバーがどのように応答を分類したか。場合によっては、サーバーが応答を送信する準備ができてから、応答の送信を終了するまでの間に、結果の型が変わることがあります。`x-edge-response-result-type`フィールドも参照してください。たとえば、HTTP ストリーミングで、サーバーがストリームのセグメントをキャッシュで見つけたとします。そのシナリオでは、このフィールドの値は通常`Hit`になります。ただし、サーバーがセグメント全体を配信する前に視聴者が接続を閉じた場合、最終的な結果のタイプ (およびこのフィールドの値) は`Error`になります。WebSocket 接続のこのフィールドの値は`Miss`になります。これは、コンテンツがキャッシュ可能ではなく、オリジンに直接プロキシされるためです。可能な値は次のとおりです。 `Hit`: サーバーはオブジェクトをキャッシュからビューアに提供しました。 `RefreshHit`: サーバーはキャッシュ内にオブジェクトを見つけましたが、オブジェクトの有効期限が切れていたため、サーバーはオリジンに連絡して、キャッシュにオブジェクトの最新バージョンがあることを確認しました。 `Miss`: キャッシュ内のオブジェクトで要求を満たすことができなかったため、サーバーは要求をオリジンに転送し、結果をビューアーに返しました。 `LimitExceeded`: CloudFront クォータ (以前は制限と呼ばれていました) を超えたため、リクエストは拒否されました。 `CapacityExceeded`: サーバーは、リクエスト時にオブジェクトを提供するのに十分な容量がなかったため、HTTP 503 ステータスコードを返しました。 `Error`: 通常、これは、リクエストによってクライアントエラー (sc-status フィールドの値が 4xx の範囲内) またはサーバーエラー (sc-status フィールドの値が 5xx の範囲内) が発生したことを意味します。`sc-status`フィールドの値が`200`の場合、またはこのフィールドの値が`Error`で`x-edge-response-result-type`フィールドの値が`Error`でない場合、HTTP リクエストは成功したが、クライアントがすべてのバイトを受信する前に切断されました。 `Redirect`: サーバーは、配信設定に従って、ビューアを HTTP から HTTPS にリダイレクトしました。
`fle_encrypted_fields`	サーバーが暗号化してオリジンに転送したフィールドレベルの暗号化フィールドの数。CloudFront サーバーは、データを暗号化するときに、処理されたリクエストをオリジンにストリーミングします。そのため、 `fle-status`の値がエラーであっても、このフィールドに値を設定できます。
`fle_status`	フィールドレベルの暗号化がディストリビューションに設定されている場合、このフィールドには、リクエストボディが正常に処理されたかどうかを示すコードが含まれます。サーバーがリクエスト本文を正常に処理し、指定されたフィールドの値を暗号化し、リクエストをオリジンに転送すると、このフィールドの値は Processed になります。この場合、 `x-edge-result-type`の値はクライアント側またはサーバー側のエラーを示している可能性があります。このフィールドの可能な値は次のとおりです。 * `ForwardedByContentType` : コンテンツタイプが構成されていないため、サーバーは解析または暗号化なしでリクエストをオリジンに転送しました。 `ForwardedByQueryArgs`: サーバーは、フィールドレベルの暗号化の構成に含まれていないクエリ引数がリクエストに含まれているため、解析または暗号化を行わずにリクエストをオリジンに転送しました。 `ForwardedDueToNoProfile`: フィールドレベルの暗号化の構成でプロファイルが指定されていなかったため、サーバーは解析または暗号化なしでリクエストをオリジンに転送しました。 `MalformedContentTypeClientError`: Content-Type ヘッダーの値が無効な形式であるため、サーバーは要求を拒否し、HTTP 400 ステータスコードをビューアーに返しました。 `MalformedInputClientError`: サーバーはリクエストを拒否し、HTTP 400 ステータスコードをビューアに返しました。これは、リクエストボディの形式が無効であったためです。 `MalformedQueryArgsClientError`: サーバーはリクエストを拒否し、HTTP 400 ステータスコードをビューアに返しました。これは、クエリ引数が空であるか無効な形式であったためです。 `RejectedByContentType`: サーバーはリクエストを拒否し、HTTP 400 ステータスコードをビューアに返しました。これは、フィールドレベルの暗号化の設定でコンテンツタイプが指定されていないためです。 `RejectedByQueryArgs`: フィールドレベルの暗号化の構成でクエリ引数が指定されていなかったため、サーバーは要求を拒否し、HTTP 400 ステータスコードをビューアに返しました。 `ServerError`: オリジンサーバーがエラーを返しました。リクエストがフィールドレベルの暗号化クォータ (以前は制限と呼ばれていました) を超えた場合、このフィールドには次のいずれかのエラーコードが含まれ、サーバーは HTTP ステータスコード 400 をビューアに返します。 `FieldLengthLimitClientError`: 暗号化するように構成されているフィールドが、許可されている最大長を超えています `FieldNumberLimitClientError`: ディストリビューションが暗号化するように構成されているリクエストに、許可されているフィールド数を超える数が含まれています。 `RequestLengthLimitClientError`: 要求本文の長さが、フィールドレベルの暗号化が構成されている場合に許可される最大長を超えました。
`sc_content_type`	レスポンスのHTTP Content-Typeヘッダーの値です。
`sc_content_len`	レスポンスの HTTP Content-Length ヘッダの値です。
`sc-range-start`	レスポンスに HTTP Content-Range ヘッダーが含まれている場合、このフィールドにはレンジの開始値が含まれます。
`sc-range-end`	レスポンスに HTTP Content-Range ヘッダーが含まれている場合、このフィールドには range end の値が格納されます。
`c_port`	視聴者からのリクエストのポート番号。
`x_edge_detailed_result_type`	`x-edge-result-type`フィールドの値が`Error`の場合、このフィールドには特定のタイプのエラーが含まれます。オブジェクトが Origin Shield キャッシュからビューアに提供された場合、このフィールドには`OriginShieldHit`が含まれます。それ以外の場合、このフィールドには`x-edge-result-type`と同じ値が含まれます。このフィールドの可能な値は次のとおりです。 `AbortedOrigin`: サーバーでオリジンに問題が発生しました。 `OriginCommError`: オリジンへの接続中、またはオリジンからのデータの読み取り中にリクエストがタイムアウトしました。 `ClientCommError`: サーバーとビューアー間の通信の問題により、ビューアーへの応答が中断されました。 `ClientGeoBlocked`: ディストリビューションは、視聴者の地理的な場所からの要求を拒否するように構成されています。 `ClientHungUpRequest`: リクエストの送信中にビューアが途中で停止しました。 `Error` – エラータイプが他のどのカテゴリにも当てはまらないエラーが発生しました。このエラータイプは、サーバーがキャッシュからエラー応答を提供するときに発生する可能性があります。 `InvalidRequest`: サーバーはビューアから無効なリクエストを受け取りました。 `InvalidRequestBlocked`: 要求されたリソースへのアクセスがブロックされています。 `InvalidRequestCertificate`: ディストリビューションは、HTTPS 接続が確立された SSL/TLS 証明書と一致しません。 `InvalidRequestHeader`: リクエストに無効なヘッダーが含まれていました。 `InvalidRequestMethod`: ディストリビューションは、使用された HTTP 要求メソッドを処理するように構成されていません。これは、ディストリビューションがキャッシュ可能なリクエストのみをサポートしている場合に発生する可能性があります。 `OriginConnectError`: サーバーはオリジンに接続できませんでした。 `OriginContentRangeLengthError`: オリジンの応答の Content-Length ヘッダーが Content-Range ヘッダーの長さと一致しません。 `OriginDnsError`: サーバーはオリジンのドメイン名を解決できませんでした。 `OriginError`: オリジンが誤った応答を返しました。 `OriginHeaderTooBigError`: オリジンから返されたヘッダーが大きすぎて、エッジサーバーが処理できません。 `OriginInvalidResponseError`: オリジンが無効な応答を返しました。 `OriginReadError`: サーバーは起点から読み取ることができませんでした。 `OriginShieldHit`: オブジェクトは Origin Shield キャッシュからビューアに提供されました。 `OriginWriteError`: サーバーはオリジンに書き込めませんでした。 `OriginZeroSizeObjectError`: オリジンからサイズ 0 のオブジェクトが送信されたため、エラーが発生しました。 `SlowReaderOriginError`: ビューアーは、元のエラーの原因となったメッセージを読むのが遅かった.
`c_country`	視聴者の IP アドレスによって決定される、視聴者の地理的な場所を表す国コード。
`cs_accept_encoding`	ビューアリクエストの`Accept-Encoding`ヘッダーの値。
`cs_accept`	ビューアリクエストの`Accept`ヘッダーの値。
`cache_behavior_path_pattern`	ビューアのリクエストに一致したキャッシュ動作を識別するパスパターン。
`cs_headers`	ビューアーリクエストの HTTP ヘッダー (名前と値)。
`cs_header_names`	ビューアーリクエストの HTTP ヘッダーの名前 (値ではない)。
`cs_headers_count`	ビューアリクエストの HTTP ヘッダーの数。

Source: logtype = 'elb'

Grok:

^%{TIMESTAMP_ISO8601:time} %{NOTSPACE:elb} %{NOTSPACE:client_ip}:%{NOTSPACE:client_port} ((%{NOTSPACE:backend_ip}:%{NOTSPACE:backend_port})|-) %{NOTSPACE:request_processing_time} %{NOTSPACE:backend_processing_time} %{NOTSPACE:response_processing_time} %{NOTSPACE:elb_status_code} %{NOTSPACE:backend_status_code} %{NOTSPACE:received_bytes} %{NOTSPACE:sent_bytes} "%{DATA:request}" "%{DATA:user_agent}" %{NOTSPACE:ssl_cipher} %{NOTSPACE:ssl_protocol}

Results:

フィールド	定義
`x_edge_location`	リクエストを処理したエッジの場所。各エッジの位置は、3文字のコードと任意に割り当てられた番号によって識別されます。たとえば、 `DFW3` 。 3文字のコードは通常、エッジロケーションに近い空港の国際航空運送協会の空港コードに対応しています。（これらの略語は将来変更される可能性があります。）
`sc_bytes`	ヘッダーを含む、リクエストに応答してCloudFrontがビューアに提供した合計バイト数。たとえば、 `1045619` 。 WebSocket接続の場合、これは接続を介してサーバーからクライアントに送信される合計バイト数です。
`c_ip`	リクエストを行ったビューアのIPアドレス。ビューアがHTTPプロキシまたはロードバランサを使用してリクエストを送信した場合、 `c_ip`の値はプロキシまたはロードバランサのIPアドレスです。
`cs_method`	HTTPリクエストメソッド： `DELETE` 、 `GET` 、 `HEAD` 、 `OPTIONS` 、 `PATCH` 、 `POST` 、または`PUT` 。
`cs_host`	CloudFrontディストリビューションのドメイン名。たとえば、 `d111111abcdef8.cloudfront.net` 。
`cs_uri_stem`	パスとオブジェクトを識別するURIの部分。たとえば、 `/images/cat.jpg` 。 URLおよびクエリ文字列の疑問符（ `?` ）はログに含まれません。
`sc_status`	HTTPステータスコード（たとえば、 `200` ）。ステータスコード`000`は、CloudFrontがリクエストに応答する前に、ビューアが接続を閉じた（たとえば、ブラウザタブを閉じた）ことを示します。 CloudFrontがレスポンスの送信を開始した後にビューアーが接続を閉じた場合、ログには該当するHTTPステータスコードが含まれます。
`cs_referer`	リクエストを発信したドメインの名前です。一般的なリファラーには、検索エンジン、あなたのオブジェクトに直接リンクしている他のWebサイト、あなた自身のWebサイトなどがあります。
`cs_user_agent`	リクエストのUser-Agentヘッダーの値です。User-Agentヘッダーは、リクエストを送信したデバイスやブラウザの種類、該当する場合はどの検索エンジンかなど、リクエストの送信元を特定するものです。
`cs_uri_query`	URIのクエリ文字列部分（存在する場合）。 URIにクエリ文字列が含まれていない場合、このフィールドの値はハイフン（ `-` ）です。
`cs_cookie`	名前と値のペアと関連する属性を含む、リクエストのクッキーヘッダ。クッキーのロギングを有効にすると、お客様がどのクッキーをオリジンに転送するかにかかわらず、CloudFrontはすべてのリクエストでクッキーをロギングします。リクエストにCookieヘッダーが含まれていない場合、このフィールドの値はハイフン（ `-` ）です。
`x_edge_result_type`	最後のバイトがエッジロケーションを離れた後、CloudFrontがレスポンスをどのように分類するか。場合によっては、CloudFrontがレスポンスを送信する準備ができてから、CloudFrontがレスポンスの送信を終了するまでの間に、結果タイプが変更されることがあります。
`x_edge_request_id`	リクエストを一意に識別する暗号化された文字列。応答ヘッダーでは、これは`x-amz-cf-id`です。
`x_host_header`	視聴者がこのリクエストのHostヘッダーに含めた値です。これは、リクエストのドメイン名です。オブジェクトのURLにCloudFrontのドメイン名を使用している場合、このフィールドにはそのドメイン名が含まれます。オブジェクトURLで`[http://example.com/logo.png`などの代替ドメイン名を使用している場合、このフィールドには`example.com`などの代替ドメイン名が含まれます。代替ドメイン名を使用するには、それらをディストリビューションに追加する必要があります。
`cs_protocol`	ビューアがリクエストで指定したプロトコル： `http` 、 `https` 、 `ws` 、または`wss` 。
`cs_bytes`	視聴者がリクエストに含めたデータのバイト数（ヘッダーを含む）です。WebSocket接続の場合は、その接続でクライアントからサーバーに送信されたバイト数の合計です。
`time_taken`	CloudFrontエッジサーバーが視聴者のリクエストを受信してから、CloudFrontがレスポンスの最後のバイトをエッジサーバーの出力キューに書き込むまでの秒数（1000分の1秒単位、例えば0.002）をサーバー上で計測したものです。視聴者から見ると、ネットワークの遅延やTCPのバッファリングにより、完全なオブジェクトを取得するまでの総時間はこの値よりも長くなります。
`x_forwarded_for`	ビューアがHTTPプロキシまたはロードバランサを使用してリクエストを送信した場合、フィールド5の`c_ip`の値はプロキシまたはロードバランサのIPアドレスです。その場合、このフィールドはリクエストを発信したビューアのIPアドレスです。このフィールドには、必要に応じてIPv4アドレスとIPv6アドレスが含まれます。ビューアがHTTPプロキシまたはロードバランサを使用しなかった場合、 `x_forwarded_for`の値はハイフン（ `-` ）です。
`ssl_protocol`	フィールド17の`cs_protocol`が`https`の場合、このフィールドには、クライアントとCloudFrontがリクエストとレスポンスを送信するためにネゴシエートしたSSL/TLSプロトコルが含まれます。可能な値は次のとおりです。 SSLv3 TLSv1 TLSv1.1 TLSv1.2フィールド17の`cs_protocol`が`http`の場合、このフィールドの値はハイフン（ `-` ）です。
`ssl_cipher`	フィールド17の`cs_protocol`が`https`の場合、このフィールドには、クライアントとCloudFrontがリクエストとレスポンスを暗号化するためにネゴシエートしたSSL/TLS暗号が含まれます。可能な値は次のとおりです。 `ECDHE-RSA-AES128-GCM-SHA256` `ECDHE-RSA-AES128-SHA256` `ECDHE-RSA-AES128-SHA` `ECDHE-RSA-AES256-GCM-SHA384` `ECDHE-RSA-AES256-SHA384` `ECDHE-RSA-AES256-SHA` `AES128-GCM-SHA256` `AES256-GCM-SHA384` `AES128-SHA256` `AES256-SHA` `AES128-SHA` `DES-CBC3-SHA` `RC4-MD5` `cs_protocol`が`http`の場合、このフィールドの値はハイフン（ `-` ）です。
`x_edge_response_result_type`	視聴者にレスポンスを返す直前に、CloudFrontがレスポンスをどのように分類したか。可能な値は以下の通りです。 `Hit`：CloudFrontは、エッジキャッシュからビューアーにオブジェクトを提供しました。 `RefreshHit`：CloudFrontはエッジキャッシュでオブジェクトを検出しましたが、有効期限が切れていたため、CloudFrontはオリジンに連絡して、キャッシュに最新バージョンのオブジェクトがあることを確認しました。 `Miss`：エッジキャッシュ内のオブジェクトがリクエストを満たせなかったため、CloudFrontはリクエストをオリジンサーバーに転送し、結果をビューアに返しました。 `LimitExceeded`：CloudFrontの制限を超えたため、リクエストは拒否されました。 `CapacityExceeded`：リクエスト時にエッジロケーションにオブジェクトを提供するのに十分な容量がなかったため、CloudFrontは`503`エラーを返しました。 `Error`：通常、これは、リクエストの結果、クライアントエラー（ `sc_status`は`4xx` ）またはサーバーエラー（ `sc_status`は`5xx` ）が発生したことを意味します。 `x_edge_result_type`の値が`Error`で、このフィールドの値が`Error`でない場合、クライアントはダウンロードを完了する前に切断します。 `Redirect`：CloudFrontはHTTPからHTTPSにリダイレクトします。 `sc_status`が`403`で、コンテンツの地理的分散を制限するようにCloudFrontを設定した場合、リクエストは制限された場所から送信された可能性があります。
`cs_protocol_version`	視聴者がリクエストで指定したHTTPバージョン。可能な値は以下の通りです。 `HTTP/0.9` `HTTP/1.0` `HTTP/1.1` `HTTP/2.0`
`fle_status`	フィールドレベルの暗号化がディストリビューションに設定されている場合、このフィールドには、リクエスト本文が正常に処理されたかどうかを示すコードが含まれます。フィールドレベルの暗号化が配布用に構成されていない場合、このフィールドの値はハイフン（ `-` ）です。 CloudFrontがリクエスト本文を正常に処理し、指定されたフィールドの値を暗号化し、リクエストをオリジンに転送すると、このフィールドの値は`Processed`になります。この場合でも、 `x_edge_result_type`の値はクライアント側またはサーバー側のエラーを示している可能性があります。リクエストがフィールドレベルの暗号化制限を超えた場合、 `fle-status`には次のエラーコードのいずれかが含まれ、CloudFrontはHTTPステータスコード`400`をビューアに返します。
`fle-encrypted-fields`	CloudFrontが暗号化してオリジンに転送したフィールドの数。 CloudFrontは、データを暗号化するときに処理されたリクエストをオリジンにストリーミングするため、 `fle_status`の値がエラーであっても`fle_encrypted_fields`は値を持つことができます。フィールドレベルの暗号化が配布用に構成されていない場合、 `fle_encrypted_fields`の値はハイフン（ `-` ）です。
`c_port`	視聴者からのリクエストのポート番号。
`time_to_first_byte`	リクエストを受信してからレスポンスの最初のバイトを書き込むまでの秒数で、サーバー上で計測されます。
`x_edge_detailed_result_type`	`x_edge_result_type` is not `Error`の場合、このフィールドには`x_edge_result_type`と同じ値が含まれます。 `x_edge_result_type` is `Error`の場合、このフィールドには特定のタイプのエラーが含まれます。
`sc_content_type`	レスポンスのHTTP Content-Typeヘッダーの値です。
`sc_content_len`	レスポンスの HTTP Content-Length ヘッダの値です。
`sc_range_start`	レスポンスに HTTP Content-Range ヘッダーが含まれている場合、このフィールドにはレンジの開始値が含まれます。
`sc-range-end`	レスポンスに HTTP Content-Range ヘッダーが含まれている場合、このフィールドには range end の値が格納されます。

Source: logtype = 'haproxy_http'

Grok:

%{HOSTPORT:client} \\[%{NOTSPACE:haproxy_timestamp}\\] %{NOTSPACE:frontend_name} %{NOTSPACE:backend_name}/%{NOTSPACE:server_name} %{NUMBER:time_queue}/%{NUMBER:time_backend_connect}/%{NUMBER:time_duration} %{NUMBER:bytes_read} %{NOTSPACE:termination_state} %{NUMBER:actconn}/%{NUMBER:feconn}/%{NUMBER:beconn}/%{NUMBER:srvconn}/%{NUMBER:retries} %{NUMBER:srv_queue}/%{NUMBER:backend_queue}

%{HOSTPORT:client} \\[%{NOTSPACE:haproxy_timestamp}\\] %{NOTSPACE:frontend_name} %{NOTSPACE:backend_name}/%{NOTSPACE:server_name} %{NUMBER:time_client_req}/%{NUMBER:time_queue}/%{NUMBER:time_backend_connect}/%{NUMBER:time_server_response}/%{NUMBER:time_duration} %{NUMBER:status_code} %{NUMBER:bytes_read} %{NOTSPACE:captured_request_cookie} %{NOTSPACE:captured_response_cookie} %{NOTSPACE:termination_state_with_cookie_status} %{NUMBER:actconn}/%{NUMBER:feconn}/%{NUMBER:beconn}/%{NUMBER:srvconn}/%{NUMBER:retries} %{NUMBER:srv_queue}/%{NUMBER:backend_queue}?( \\\"%{GREEDYDATA:full_http_request}\\\")?( %{NOTSPACE:captured_response_headers})?

Results:

client：このリクエストの送信元IP/ポート
haproxy_timestamp：このリクエストが受け入れられたときのタイムスタンプ
frontend_name：このリクエストで使用されたフロントエンドの名前
backend_name：このリクエストで使用されたバックエンドの名前
server_name：このリクエストで使用されたバックエンドグループのサーバー名
time_client_req：クライアントからの完全な要求を待機する時間（ミリ秒）
time_queue：キューでの待機時間（ミリ秒）
time_backend_connect：宛先サーバーへの接続を確立する時間（ms）
time_server_response：宛先サーバーが応答を送信する時間（ミリ秒）
time_duration：HAProxyでアクティブなリクエストの合計時間（ミリ秒）
status_code：HTTP応答コード
bytes_read：このリクエストで読み取られた合計バイト数
captured_request_cookie：リクエストからキャプチャされたCookie
captured_response_cookie：応答からキャプチャされたCookie
termination_state：切断時のセッション状態
termination_state_with_cookie_status：切断時のCookieステータスを含むセッション状態
actconn：アクティブな接続
feconn: フロントエンド接続
beconn: バックエンド接続
srvconn：サーバー接続
retries：再試行
srv_queue：サーバーキューサイズ
backend_queue: バックエンドキューサイズ
full_http_request：完全なHTTPリクエストライン
captured_response_headers：応答からキャプチャされたヘッダー

Source: logtype = 'ktranslate-health'

Grok:

%{NOTSPACE:timestamp} ktranslate(/)?(%{GREEDYDATA:container_service})? \[%{NOTSPACE:severity}] %{GREEDYDATA:message}

Results:

timestamp：ログの時間
container_service：ktranslateでコンテナを区別するために使用される一意の識別子。これは、Dockerの実行時にオプションの--service_nameフラグを使用して設定されます
severity：ログ行の重大度
message：メッセージフィールドには、イベントに関する情報を提供する自由形式のメッセージが含まれます

Source: logtype = 'linux_cron'

Grok:

%{SYSLOGTIMESTAMP:linux_cron.timestamp} %{NOTSPACE:linux_cron.hostname} %{DATA:linux_cron.process}(\[%{NUMBER:linux_cron.pid:integer}\])?: (\(%{DATA:linux_cron.user}\))?%{GREEDYDATA:linux_cron.message}

Results:

linux_cron.timestamp：ログの時間
linux_cron.hostname：Linuxサーバーのホスト名
linux_cron.process：Linuxcronプロセス名
linux_cron.pid：Linux cron PID（プロセス識別子）
linux_cron.user：cronを実行したLinuxユーザー
linux_cron.message：ログメッセージ

Source: logtype = 'linux_messages'

Grok:

%{SYSLOGTIMESTAMP:linux_messages.timestamp} %{NOTSPACE:linux_messages.hostname} %{DATA:linux_messages.process}(\[%{NUMBER:linux_messages.pid:integer}\])?: %{GREEDYDATA:linux_messages.message}

Results:

linux_messages.timestamp：ログの時間
linux_messages.hostname：Linuxサーバーのホスト名
linux_messages.process：Linuxプロセス名
linux_messages.pid：Linux PID（プロセス識別子）
linux_messages.message：ログメッセージ

Source: logtype = 'iis_w3c'

Grok:

%{TIMESTAMP_ISO8601:log_timestamp} %{NOTSPACE:server_ip} %{WORD:method} %{NOTSPACE:uri} %{NOTSPACE:uri_query} %{NOTSPACE:server_port} %{NOTSPACE:username} %{NOTSPACE:client_ip} %{NOTSPACE:user_agent} %{NOTSPACE:referer} %{NOTSPACE:status} %{NOTSPACE:substatus} %{NOTSPACE:win32_status} %{NOTSPACE:time_taken}

Results:

IISでは、いくつかの構成オプションを使用できます。デフォルト以外のオプションを構成した場合、Grokパターンはログを解析しません。この場合、カスタム解析を使用することをお勧めします。

Source: logtype = 'mongodb'

Grok:

%{TIMESTAMP_ISO8601:mongodb.timestamp} %{WORD:mongodb.severity} %{WORD:mongodb.component} *\[%{WORD:mongodb.context}\] %{GREEDYDATA:mongodb.message}

Results:

mongodb.timestamp：ログステートメントのタイムスタンプ
mongodb.severity：ログステートメントの重大度レベル（F =致命的、E =エラー、W =警告、I =情報、D1-5 =デバッグ）
mongodb.component：ログステートメントを発行するスレッドのカテゴリ
mongodb.context：ログステートメントを発行するスレッドの名前
mongodb.message：生のmongodbメッセージ

Source: logtype = 'nginx'

Grok:

%{IPORHOST:clientip} %{USER:ident} %{USER:auth} \[%{HTTPDATE:timestamp}\] "(?:%{WORD:verb} %{NOTSPACE:request}(?: HTTP/%{NUMBER:httpversion})?|%{DATA:rawrequest})" %{NUMBER:response} (?:%{NUMBER:bytes}|-) %{QS:referrer} %{QS:agent}

Results:

clientip：クライアントのIPアドレス
verb：HTTP動詞
ident：リクエストを行うクライアントのユーザーID
response：応答のHTTPステータスコード
request：作成中のURIとリクエスト
httpversion：リクエストのHTTPバージョン
rawrequest：データが投稿された場合の生のHTTPリクエスト
bytes：送信されたバイト数
referrer：HTTPリファラー
agent：クライアントのユーザーエージェント

Source: logtype = 'nginx-error'

Grok:

^(?<timestamp>%{YEAR:year}[./-]%{MONTHNUM:month}[./-]%{MONTHDAY:day}[- ]%{TIME:time}) \[%{WORD:severity}\] %{POSINT:pid}#%{NUMBER}: \*%{NUMBER} %{GREEDYDATA:errormessage} client: %{IPORHOST:client}, server: %{NOTSPACE:server}, request: (\\)?"%{DATA:request}", (?:, upstream: \"%{URI:upstream}\")?host: (\\)?"%{NOTSPACE:host}(\\)?"(, referrer: (\\)?"%{URI:referrer}(\\)?")?

Results:

severity：ログ行の重大度
pid：サーバープロセスID
errormessage：エラーメッセージ
clientip：呼び出し元クライアントのIPアドレス
server：サーバーのIPアドレス
request：完全なリクエスト
upstream：アップストリームURI
host：サーバーのホスト名
referrer：HTTPリファラー

ソース： logtype = 'postgresql'

Grok:

%{DATA:postgresql.timestamp} \[%{NUMBER:postgresql.pid}\] %{WORD:level}:\s+%{GREEDYDATA:postgresql.message}

結果

postgresql.timestamp：ログのタイムスタンプ
postgresql.pid：サーバープロセスID
level：メッセージのログレベル
postgresql.message：ログメッセージ

Source: logtype = 'rabbitmq'

Grok:

%{TIMESTAMP_ISO8601:rabbitmq.timestamp} \[%{LOGLEVEL:level}\] \<%{DATA:rabbitmq.pid}\> %{GREEDYDATA:rabbitmq.message}

Results:

rabbitmq.timestamp：ログのタイムスタンプ
level：メッセージのログレベル（デバッグ、情報、警告、エラー、クリティカル、なし）
rabbitmq.pid：ログ行のプロセスID
rabbitmq.message：rabbitmqエラーメッセージ

Source: logtype = 'redis'

Grok:

%{POSINT:redis.pid}:%{NOTSPACE:redis.role} (?<redistimestamp>[\d-]+ [a-zA-Z]+ [\d]+ [\d:]+.[\d]{3}) %{NOTSPACE:level} %{GREEDYDATA:redis.message}

Results:

redis.pid：ログ行のプロセスID
redis.role：インスタンスのロール（Xセンチネル、C RDB / AOF書き込み子、Sスレーブ、Mマスター）
redistimestamp：ログのタイムスタンプ
level：メッセージのログレベル（。debug、-verbose、* Notice、＃warning）
redis.message：redisエラーメッセージ

Source: logtype = 'route-53'

Grok:

%{NUMBER:log_format_version} %{TIMESTAMP_ISO8601} %{WORD:zone_id} %{IPORHOST:query} %{WORD:query_type} %{WORD:response_code} %{WORD:protocol} %{WORD:edge_location} %{IP:resolver_ip} %{GREEDYDATA:edns_client_subnet}

Results:

log_format_version：ログのバージョン管理された形式。
zone_id：このログのすべてのDNSクエリに関連付けられているホストゾーンのID。
query：リクエストで指定されたドメインまたはサブドメイン。
query_type：リクエストで指定されたDNSレコードタイプ、またはANYのいずれか。
response_code：DNSクエリに応答してRoute53が返したDNS応答コード。
protocol：クエリの送信に使用されたプロトコル（TCPまたはUDP）。
edge_location：クエリに応答したRoute53エッジの場所。各エッジの位置は、3文字のコードと任意の番号で識別されます。たとえば、 DFW3 。 3文字のコードは通常、エッジロケーションに近い空港の国際航空運送協会の空港コードに対応しています。（これらの略語は将来変更される可能性があります。）
resolver_ip：Route53にリクエストを送信したDNSリゾルバーのIPアドレス。
edns_client_subnet：DNSリゾルバーから利用可能な場合、要求の発信元のクライアントの部分的なIPアドレス。

Source: logtype = 'syslog-rfc5424'

Grok:

<%{NONNEGINT:pri}>%{NONNEGINT:version} +(?:%{TIMESTAMP_ISO8601:log.timestamp}|-) +(?:%{HOSTNAME:hostname}|-) +(?:\\-|%{NOTSPACE:app.name}) +(?:\\-|%{NOTSPACE:procid}) (?:\\-|%{NOTSPACE:msgid}) +(?:\[%{DATA:structured.data}\]|-|) +%{GREEDYDATA:message}

Results:

pri：優先度は、メッセージ機能と重大度の両方を表します。
version：Syslogプロトコルバージョン。
log.timestamp：元のタイムスタンプ。
hostname：最初にSyslogメッセージを送信したマシン。
app.name：メッセージを発信したデバイスまたはアプリケーション。
procid：Syslogシステムに関連付けられているプロセス名またはプロセスID。
msgid：メッセージのタイプを識別します。
structured.data：構造化データ文字列値。
sd.sd-id.sd-param-name： structured.dataコンテンツも、事前定義された命名規則に従って個別の属性に解析されます： sd.sd-id.sd-param-name 。以下の構造化データ解析の例を参照してください。
message：イベントに関する情報を提供する自由形式のメッセージ。

Structured data parsing examples:

構造化データ[example one="1" two="2"]は、次の2つの異なる属性に解析されます。

sd.example.one: "1"
sd.example.two: "2"

同じ構造化データブロックに重複するパラメータ名が含まれている場合は、属性名にインデックスベースのサフィックスも追加されます。たとえば、構造化データ[example number="1" number="2"]は次のように解析されます。

sd.example.number.0: "1"
sd.example.number.1: "2"

エンタープライズ番号が割り当てられた構造化データの場合、追加の属性も解析されます。たとえば、構造化データ[example@123 number="1"]は次のように解析されます。

sd.example.enterprise.number: 123
sd.example.number: "1"

この機械翻訳は、参考として提供されています。

構文解析の例

追加する `logtype`

ヒント

NewRelicインフラストラクチャエージェントの例

流暢な例

流暢なビットの例

Logstashの例

LogsAPIの例

Apache

Apacheエラー

アプリケーションロードバランサー

カサンドラ

結果

CloudFront (標準ログ)

CloudFront (リアルタイムログ)

弾性ロードバランサー

HAProxy

KTranslate Health

Linux Cron（/ var / log / cron）

Linuxメッセージ（/ var / log / messages）

マイクロソフトIIS

Mongodb

Monit

MySQLエラー

NGINX

NGINXエラー

Postgresql

結果

ラビットエムキュー

Redis

ルート53

シスログ RFC-5424

この機械翻訳は、参考として提供されています。

内蔵のログ解析ルール

構文解析の例 .css-21sua1{background:none;border:none;width:0;padding:0;}

追加する logtype

ヒント

流暢な例

流暢なビットの例

Logstashの例

LogsAPIの例

Apache

Apacheエラー

アプリケーションロードバランサー

カサンドラ

CloudFront (標準ログ)

CloudFront (リアルタイム ログ)

弾性ロードバランサー

HAProxy

KTranslate Health

Linux Cron（/ var / log / cron）

Linuxメッセージ（/ var / log / messages）

マイクロソフトIIS

Mongodb

Monit

MySQLエラー

NGINX

NGINXエラー

Postgresql

ラビットエムキュー

Redis

ルート53

シスログ RFC-5424

構文解析の例

追加する `logtype`

CloudFront (リアルタイムログ)