內置保留字段
更新時間 2024-03-22 14:08:50
最近更新時間: 2024-03-22 14:08:50
分享文章
在采集日志時，日志服務會將采集時間、日志類型、主機IP等信息以Key-Value對的形式添加到日志中，這些字段是云日志服務的內置字段。
說明
使用API寫入日志數據或添加ICAgent配置時，請不要將字段名稱設置為內置保留字段，否則可能會造成字段名稱重復、查詢不精確等問題。
用戶自定義日志字段名稱中不能使用雙下劃線\_\_，否則無法配置索引。
日志示例
如下是一條CCE日志，content字段值是日志原文，其他字段是常見的一些內置保留字段。
{
"hostName":"epstest-xx518",
"hostIP":"192.168.0.31",
"clusterId":"c7f3f4a5-xxxx-11ed-a4ec-0255ac100b07",
"pathFile":"stdout.log",
"content":"level=error ts=2023-04-19T09:21:21.333895559Z",
"podIp":"10.0.0.145",
"containerName":"config-reloader",
"clusterName":"epstest",
"nameSpace":"monitoring",
"hostIPv6":"",
"collectTime":"1681896081334",
"appName":"alertmanager-alertmanager",
"hostId":"318c02fe-xxxx-4c91-b5bb-6923513b6c34",
"lineNum":"1681896081333991900",
"podName":"alertmanager-alertmanager-54d7xxxx-wnfsh",
"__time__":"1681896081334",
"serviceID":"cf5b453xxxad61d4c483b50da3fad5ad",
"category":"LTS"
}
內置保留字段說明
表 1 內置保留字段說明
| 內置保留字段 | 數據格式 | 索引與統計設置 | 說明 |
|---|---|---|---|
| collectTime | 整型，Unix時間戳（毫秒） | 索引設置：開啟索引后，日志服務默認為collectTime創建字段索引，索引數據類型為long類型。查詢時輸入collectTime : xxx。 | 采集時間，指日志被采集器ICAgent采集時的時間。示例中的"collectTime":"1681896081334"，轉換成標準時間是2023-04-19 17:21:21 |
| time | 整型，Unix時間戳（毫秒） | 索引設置：開啟索引后，日志服務默認為time創建字段索引，索引數據類型為long類型。該字段不支持查詢。 | 日志時間，指的是日志在控制臺頁面展示的日志時間。例如示例中的"time":"1681896081334"，轉換成標準時間是2023-04-19 17:21:21日志時間默認使用采集時間，也支持自定義日志時間。 |
| lineNum | 整型 | 索引設置：開啟索引后，日志服務默認為lineNum創建字段索引，索引數據類型為long類型。 | 行號（偏移量），用來排序日志。非高精度日志會根據collectTime生成，默認是collectTime * 1000000 + 1，高精度日志就是用戶上報的納秒值。例如示例中的"lineNum":"1681896081333991900"。 |
| category | 字符串 | 索引設置：開啟索引后，日志服務默認為category創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入category: xxx。 | 日志類型，表示該日志的來源。例如ICAgent采集的日志該字段為LTS，某云服務例如DCS上報的日志該字段為DCS。 |
| clusterName | 字符串 | 索引設置：開啟索引后，日志服務默認為clusterName創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入clusterName: xxx。 | 集群名稱，k8s場景下集群名稱。例如示例中的"clusterName":"epstest"。 |
| clusterId | 字符串 | 索引設置：開啟索引后，日志服務默認為clusterId創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入clusterId: xxx。 | 集群ID，k8s場景下集群ID。例如示例中的"clusterId":"c7f3f4a5-xxxx-11ed-a4ec-0255ac100b07"。 |
| nameSpace | 字符串 | 索引設置：開啟索引后，日志服務默認為nameSpace創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入nameSpace: xxx。 | 命名空間，k8s場景下命名空間。例如示例中的"nameSpace":"monitoring"。 |
| appName | 字符串 | 索引設置：開啟索引后，日志服務默認為appName創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入appName: xxx。 | 組件名稱，k8s場景下工作負載的名稱。例如示例中的"appName":"alertmanager-alertmanager"。 |
| serviceID | 字符串 | 索引設置：開啟索引后，日志服務默認為serviceID創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入serviceID: xxx。 | 工作負載ID，k8s場景下工作負載ID。例如示例中的"serviceID":"cf5b453xxxad61d4c483b50da3fad5ad"。 |
| podName | 字符串 | 索引設置：開啟索引后，日志服務默認為podName創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入podName: xxx。 | POD名稱，k8s場景下POD名稱。例如示例中的"podName":"alertmanager-alertmanager-0"。 |
| podIp | 字符串 | 索引設置：開啟索引后，日志服務默認為podIp創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入podIp: xxx。 | pod的ip，k8s場景下pod的IP地址。例如示例中的"podIp":"10.0.0.145"。 |
| containerName | 字符串 | 索引設置：開啟索引后，日志服務默認為containerName創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入containerName: xxx。 | 容器名稱，k8s場景下容器名稱。例如示例中的"containerName":"config-reloader"。 |
| hostName | 字符串 | 索引設置：開啟索引后，日志服務默認為hostName創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入hostName: xxx。 | 主機名稱，ICAgent所在主機的名稱。例如示例中的"hostName":"epstest-xx518"。 |
| hostId | 字符串 | 索引設置：開啟索引后，日志服務默認為hostId創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入hostId: xxx。 | 主機ID，ICAgent所在主機的id，該id由ICAgent生成。例如示例中的"hostId":"318c02fe-xxxx-4c91-b5bb-6923513b6c34"。 |
| hostIP | 字符串 | 索引設置：開啟索引后，日志服務默認為hostIP創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入hostIP: xxx。 | 主機IP，日志采集器所在主機的ip（適用于ipv4場景）例如示例中的"hostIP":"192.168.0.31"。 |
| hostIPv6 | 字符串 | 索引設置：開啟索引后，日志服務默認為hostIPv6創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入hostIPv6: xxx。 | 主機IP，日志采集器所在主機的ip（適用于ipv6場景）例如示例中的"hostIPv6":""。 |
| pathFile | 字符串 | 索引設置：開啟索引后，日志服務默認為pathFile創建字段索引，索引數據類型為string類型，分詞字符為空。查詢時輸入pathFile: xxx。 | 文件路徑，采集的日志文件的路徑。例如示例中的"pathFile":"stdout.log"。 |
| content | 字符串 | 索引設置：開啟全文索引后，會使用全文索引定義的分詞符對content字段的value進行分詞；不支持將content字段配置到字段索引中。 | 日志原文例如示例中的"content":"level=error ts=2023-04-19T09:21:21.333895559Z" |
| logContent | 字符串 | 不支持將logContent字段配置到字段索引中。 | 不涉及。 |
| logContentSize | 整型 | 不支持將logContentSize字段配置到字段索引中。 | 不涉及。 |
| logIndexSize | 整型 | 不支持將logIndexSize字段配置到字段索引中。 | 不涉及。 |
| groupName | 字符串 | 不支持將groupName字段配置到字段索引中。 | 不涉及。 |
| logStream | 字符串 | 不支持將logStream字段配置到字段索引中。 | 不涉及。 |
| receive_time | 整型，Unix時間戳（毫秒） | 索引設置：開啟索引后，日志服務默認為__receive_time__創建字段索引，索引數據類型為long類型。 | 上報日志的服務端時間，相當于LTS采集端接收到日志的時間。 |
| client_time | 整型，Unix時間戳（毫秒） | 索引設置：開啟索引后，日志服務默認為__client_time__創建字段索引，索引數據類型為long類型。 | 端側日志的客戶端上報時間。 |
| content_parse_fail | 字符串 | 索引設置：開啟索引后，日志服務默認為_content_parse_fail_創建字段索引，索引數據類型為string類型，分詞字符為默認分詞符。查詢時輸入_content_parse_fail_: xxx。 | 上報日志解析失敗的日志內容。 |
| save_time | 整型，Unix時間戳（毫秒） | 索引設置：開啟索引后，日志服務默認為__save_time__創建字段索引，索引數據類型為long類型。 | 日志流引擎的時間字段，根據此時間拉取對應時間段內的日志數據。 |
| __time | 整型，Unix時間戳（毫秒） | 索引設置：開啟索引后，日志服務默認為__time創建字段索引，索引數據類型為date類型。 | 采集時間，用于兼容可視化查詢。 |
