4-6 タグとイベントタイプ

1. イベントタイプとは

イベントタイプ(Event Type)とは、 よく使うサーチ条件に名前を付けて再利用する仕組みです。 毎回同じ条件を書く代わりに、その条件をひとつの名前で呼び出せるようになります。

たとえば「サーバーエラー(ステータス500番台)」を頻繁に調べるなら、 status>=500という条件にweb_errorという名前を付けておきます。 以後はeventtype=web_errorと書くだけで、同じ条件のイベントを取り出せます。

index=web eventtype=web_error | stats count by host

イベントタイプは、検索そのものを名前にした「ショートカット」だと考えると分かりやすいでしょう。 条件が長く複雑になるほど、名前で呼べる利点が大きくなります。

サーチ結果から「Save As > Event Type」で保存するか、 「設定 > イベントタイプ」から条件と名前を登録します。

2. タグとは

タグ(Tag)は、フィールド値やイベントタイプにラベルを付ける仕組みです。 イベントタイプが「条件に名前を付ける」ものであるのに対し、 タグは「複数のものに共通のラベルを貼る」もの、とイメージするとよいでしょう。

たとえば、web_error(Webのエラー)やdb_error(DBのエラー)といった 複数のエラー系イベントタイプに、まとめてerrorというタグを付けられます。

index=* tag=error | stats count by sourcetype

こう書くと、errorタグが付いたイベントをデータ源をまたいで横断的に検索できます。 個々の条件やイベントタイプ名を覚えていなくても、tag=errorのひとことで 「あらゆるエラー」を一度に呼び出せるわけです。

3. 分類・正規化への活用

イベントタイプとタグを組み合わせると、バラバラなログに共通の分類を与えられます。

たとえば、認証失敗を表すさまざまなログにauthenticationとfailureのタグを付けておけば、 tag=authentication tag=failureで製品を問わず失敗ログを集約できます。 これは前節で触れたCIM正規化とも相性がよく、データの分類・正規化の土台になります。

イベントタイプやタグも恒久的な設定であり、権限(Private／App／Global)で 共有範囲を管理します。チームで共通の分類として使うにはApp以上に共有します。

4. まとめ

• イベントタイプはよく使うサーチ条件に名前を付けて再利用する仕組み
• eventtype=web_errorのように名前で条件を呼び出せる
• タグはフィールド値やイベントタイプにラベルを付ける仕組み
• tag=errorで複数の対象を横断的に検索でき、データの分類・正規化に役立つ