カスタマイズした検索の作成

特定の検索オプションを使用することで、条件と一致するデータを検索できます。例えば、検索に使用する列を指定できます。その列は、より効率的に検索結果を参照するために、グループ化および再配列できます。

このタスクについて

検索の所要時間は、データベースのサイズに応じて異なります。

検索結果をフィルタリングするための新しい検索オプションを追加して、検索している特定のイベントまたはフローを見つけることができます。

以下の表に、イベント・データまたはフロー・データを検索する際に使用できる検索オプションを示します。

表 1. 検索オプション
オプション	説明
グループ	イベント検索グループまたはフロー検索グループを選択して、「使用可能な保存済み検索」リストに表示します。
保存済み検索を入力するか、リストから選択してください	保存済み検索の名前を入力するか、「使用可能な保存済み検索」リストをフィルタリングするためのキーワードを入力します。
使用可能な保存済み検索	このリストには、「グループ」または「保存済み検索の入力またはリストから選択」オプションを使用してリストをフィルタリングしない限り、使用可能なすべての検索が表示されます。このリストで、表示または編集する保存済み検索を選択することができます。
検索	「検索」アイコンは、検索ページの複数のペインで使用できます。検索の構成が終了したら、「検索」をクリックして結果を表示することができます。
クイック検索に含める	この検索を「クイック検索」メニューに含める場合は、このチェック・ボックスを選択します。
ダッシュボードに含める	保存済み検索からのデータを「ダッシュボード」タブに組み込む場合は、このチェック・ボックスを選択します。「ダッシュボード」タブについて詳しくは、ダッシュボード管理を参照してください。注: このパラメーターは、検索がグループ化されている場合にのみ表示されます。
デフォルトとして設定	この検索をデフォルトの検索として設定する場合は、このチェック・ボックスを選択します。
全員と共有	この検索を他のユーザー全員と共有する場合は、このチェック・ボックスを選択します。制約事項: 検索要件を共有するには、管理セキュリティー・プロファイルが必要です。
リアルタイム (ストリーミング)	結果をストリーム・モードで表示します。注: リアルタイム (ストリーミング) が有効になっていると、検索結果をグループ化できません。「列定義」ペインでグループ化オプションを選択すると、エラー・メッセージが表示されます。
最後の間隔 (自動最新表示)	ログ・アクティビティーおよびネットワーク・アクティビティータブS は 1 分間隔で最新表示され、最新の情報が表示されます。
最近	このオプションを選択した後に、リストから時刻範囲のオプションを選択する必要があります。注: 過去 1 分間の結果が使用できない場合があります。すべての結果を表示する場合は、<`「特定の間隔」`> オプションを選択します。
特定の間隔	このオプションを選択した後に、「開始時刻」および「終了時刻」のカレンダーから日時の範囲を選択する必要があります。
データ集計	保存済み検索をロードした場合に表示されます。この保存済み検索のデータが累積されていない場合は、以下の情報メッセージが表示されます。`Data is not being accumulated for this search`. この保存済み検索に対してデータが集計されている場合は、次のオプションが表示されます。列のリンクをクリックするか、列のリンクにマウスを移動すると、データを集計している列のリストが表示されます。「固有カウントの有効化」/「固有カウントの無効化」リンクは、ある期間の平均の数ではなく、固有のイベントおよびフローの数を表示するために使用します。「固有カウントの有効化」リンクをクリックすると、ダイアログ・ボックスが開き、集計データを共有する保存済み検索とレポートが表示されます。
現在のフィルター	この検索に適用されるフィルターが表示されます。
検索の完了時に結果を保存 (Save results when search is complete）	検索結果を保存します。
表示	検索結果に表示するように設定されている定義済みの列を指定します。
名前	カスタム列レイアウトの名前。
列レイアウトの保存	変更したカスタム列レイアウトを保存します。
列レイアウトの削除	保存済みのカスタム列レイアウトを削除します。
列を入力するか、リストから選択してください	「使用可能な列」リストに表示される列をフィルタリングします。例えば、列名に「デバイス」を含む列のリストを表示するには、 `Device` と入力します。
選択可能な列	この保存済み検索で現在使用されている列が、「列」リスト内で強調表示されます。
列の追加矢印と列の削除矢印 (上部セット)	上部の矢印セットを使用して、「グループ化の基準」リストをカスタマイズします。列を追加するには、「使用可能な列」リストから 1 つ以上の列を選択し、右矢印をクリックします。列を削除するには、「グループ化の基準」リストから 1 つ以上の列を選択し、左矢印をクリックします。
列の追加矢印と列の削除矢印 (下部セット)	下部の矢印セットを使用して、「列」リストをカスタマイズします。列を追加するには、「使用可能な列」リストから 1 つ以上の列を選択し、右矢印をクリックします。列を削除するには、「列」リストから 1 つ以上の列を選択し、左矢印をクリックします。
グループ化の基準	保存済み検索の結果をグループ化する列を指定します。優先順位リスト内で列を上に移動するには、列を選択して上矢印をクリックします。リスト内で列を上にドラッグすることもできます。優先順位リスト内で列を下に移動するには、列を選択して下矢印をクリックします。リスト内で列を下にドラッグすることもできます。優先順位リストは、結果をグループ化する順序を指定します。検索結果は、「グループ化の基準」リストの 1 列目でグループ化された後、リストの次の列でグループ化されます。注: 「グループ化」リストにドメインを含めると、検索で正しい結果が返されない場合があります。
列	検索に対して選択される列を指定します。「使用可能な列」リストから追加の列を選択できます。次のオプションを使用して、「列」リストをさらにカスタマイズできます。優先順位リスト内で列を上に移動するには、列を選択して上矢印をクリックします。リスト内で列を上にドラッグすることもできます。優先順位リスト内で列を下に移動するには、列を選択して下矢印をクリックします。リスト内で列を下にドラッグすることもできます。列のタイプが数値または時刻ベースである場合に、「グループ化の基準」リストに項目があるときは、列にリストが表示されます。このリストを使用して、列をどのようにグループ化するかを選択します。列のタイプがグループである場合は、グループに含めるレベルの数を選択するためのリストが列に表示されます。
「グループ化の基準」リストと「列」リストとの間で列を移動	一方のリストで列を選択し、それを他方にドラッグすることで、「グループ化の基準」リストと「列」リストとの間で列を移動します。
順序	最初のリストから、検索結果のソート基準となる列を選択します。次に、2 番目のリストから、検索結果を表示する順序を選択します。
結果の制限	「検索の編集」ウィンドウに返される検索の行数を指定します。「結果の制限」フィールドは、「結果」ウィンドウにも表示されます。保存済み検索の場合、保存済み検索内に制限が保管され、検索のロード時に再適用されます。行の制限が存在する検索結果で列をソートするとき、データ・グリッドに表示される制限された行内でソートが実行されます。グループ別検索で時系列グラフがオンになっている場合、行の制限はデータ・グリッドに対してのみ適用されます。時系列グラフの「上位 N」リストにより、グラフに取り込む時系列の数が制御されます。

手順

検索オプションを選択します。
- イベントを検索する場合は、「ログ・アクティビティー」タブをクリックします。
- フローを検索する場合は、「ネットワーク・アクティビティー」タブをクリックします。
「検索」リストから、「新規検索」を選択します。
以前に保存した検索を選択します。
検索を作成する場合は、「時刻範囲」ペインで、この検索用にキャプチャーする時刻範囲のオプションを選択します。

注: 時刻範囲が大きい場合は、選択した時刻範囲がパフォーマンスに影響する可能性があります。
「データ集計」ペインで固有カウントを有効にします。

注: 累積データの固有カウントを有効にすると、他の多くの保存済み検索およびレポートと共有されるため、システム・パフォーマンスが低下する可能性があります。
「検索パラメーター」ペインで、検索条件を定義します。
1. 最初のリストから、検索対象のパラメーターを選択します。
2. 2 番目のリストから、検索に使用する修飾子を選択します。
  
  注:
  カスタム・プロパティーに値がないイベントまたはフローを検索するには、「N/A である」演算子を使用します。カスタム・プロパティーに値があるイベントまたはフローを検索するには、「N/A でない」演算子を使用します。
3. 入力フィールドに、検索パラメーターに関連する具体的な情報を入力します。
4. 「フィルターの追加」をクリックします。
5. 検索条件に追加するフィルターごとに、上記のステップを繰り返します。
検索の完了時に検索結果を自動的に保存するには、「検索完了時に結果を保存」チェック・ボックスを選択し、保存済み検索の名前を入力します。
「列定義」ペインで、結果の表示に使用する列および列レイアウトを定義します。
1. 「表示」リストから、この検索に関連付けるように設定されている事前構成済みの列を選択します。
2. 拡張検索パラメーターを表示するには、「拡張ビュー定義」の横にある矢印をクリックします。
3. 検索結果に表示する列をカスタマイズします。
4. 「結果制限 (Results Limit)」フィールドに、検索で返す行数を入力します。
ヒント: 複数のログ・ソース・グループに属しているが、検索条件に一致するイベントが 1 つしかないログ・ソースを構成すると、検索により、イベントが属する各ログ・ソース・グループ (親グループを含む) の結果が生成されます。これは予期される動作です。
「フィルター」をクリックします。