Generické lookupy¶

TeskaLabs LogMan.io generické lookupy slouží k vytváření seznamů klíčů nebo dvojic klíč-hodnota. type v deklaraci v sekci define je jednoduše lookup:

---
define:
  type: lookup
  ...

Pokud jde o parsování, generické lookupy mohou být použity pouze ve standardním enricheři s výrazem !LOOKUP.

Vytváření generického lookupu¶

Existují vždy tři kroky pro povolení lookupů:

Vytvořte deklaraci lookupu v Knihovně LogMan.io (popis lookupu)
Vytvořte lookup a jeho obsah v sekci Lookupy v UI (obsah lookupu)
Přidejte lookup do relevantních parsingových a/nebo korelačních pravidel v Knihovně (aplikace lookupu)

Případ použití: Uživatelský lookup¶

Uživatelský lookup se používá k získání informací o uživateli, jako je uživatelské jméno a email podle ID uživatele.

V LogMan.io přejděte do Knihovny.
V Knihovně přejděte do složky /Lookups.
Vytvořte novou deklaraci lookupu pro váš lookup, třeba „userlookup.yaml“, přičemž se ujistěte, že soubor má příponu YAML.
Přidejte následující deklaraci:
```
define:
  type: lookup
  name: userlookup
  group: user

keys:
  - name: userid
    type: str

fields:
  user_name:
    type: str
  email:
    type: str
```
Ujistěte se, že type je vždy lookup.

Změňte name v sekci define na název vašeho lookupu.

group se používá při procesu obohacení k nalezení všech lookupů, které sdílejí stejnou skupinu. Hodnota je jedinečný identifikátor skupiny (případ použití), zde: user.

Do fields přidejte názvy a typy atributů lookupu. Tento příklad používá user_name a email jako řetězce.

V současné době jsou podporovány tyto typy: str, fp64, si32, geopoint a ip.
Uložte deklaraci.
V LogMan.io přejděte do Lookupů.
Vytvořte nový lookup se stejným názvem jako výše, tj. „userlookup“. Specifikujte ID uživatele jako klíč.
Vytvořte záznamy v lookupu s ID uživatele jako klíčem a poli, jak je uvedeno výše.

Přidejte následující enricheř do pravidla LogMan.io Parsec, které by mělo využívat lookup:

define:
  type: enricher/standard

enrich:
  user_name:
    !GET
    from:
      !LOOKUP
      what: userlookup
    what:
      !GET
      from: !EVENT
      what: user.id

Tento vzorový enricheř získá user_name z userlookup na základě atributu user.id z parsovaného eventu.