数据转发¶

对于长存储周期、低更新频率的数据，可通过数据转发功能，将包括日志等在内的数据保存到对象存储或转发至外部存储系统。

规则生效后，在数据转发页面，您可以通过设置查询时间和数据转发规则，快速检索存储数据。

前提条件¶

仅限商业版。

开始新建¶

进入数据转发 > 转发规则 > 新建规则页面。

数据转发规则创建完成后，系统将每 5 分钟执行一次规则校验。

输入规则名称¶

即当前数据转发规则的名称。

包含扩展字段：默认仅转发符合条件日志的 message 字段内容。若勾选 “包含扩展字段”，则符合条件的整条日志数据都会被转发。应用性能和用户访问数据默认转发整条数据，不受此选项影响。

注意

创建多个数据转发规则时，优先匹配勾选包含扩展字段的规则。若不同规则命中同一条数据，则优先按包含扩展字段的逻辑展示整条日志数据。

定义过滤条件¶

数据源：包含日志、应用性能、用户访问、事件、审计事件。
过滤条件：支持自定义条件间的运算逻辑；可添加多条。
- 所有条件：仅匹配所有过滤条件都满足的日志数据才会被保存到数据转发；
- 任意条件：任意一个过滤条件满足即可被保存到数据转发。

条件运算符见下表：

条件运算符	匹配类型
in、not in	精确匹配，支持多值（逗号隔开）
match、not match	模糊匹配，支持输入正则语法

若此处不添加过滤条件，即表示保存全部数据。

选择存档类型¶

为提供更加全面的数据转发存储方式，系统支持五种存储路径。

观测云：当选择数据转发存储对象为观测云，匹配到的日志数据将被保存到观测云侧的 OSS、S3、OBS 对象存储中。

AWS S3；

华为云 OBS；

阿里云 OSS；

Kafka 消息队列。

注意

五种存档类型全站点开放；
当选择数据转发存储对象为观测云，日志数据最低存储默认为 180 天，且规则一旦创建无法取消，存储期间会每天收取费用；您可以前往管理 > 设置 > 变更数据存储策略进行修改。

加密存储¶

针对 AWS S3、华为云 OBS、阿里云 OSS 这三种数据存档类型，您可以通过开启加密存储功能，确保从观测云平台转发至企业指定外部存储的数据安全可靠。

开启开关后，系统会针对转发出的数据做对称加密。后续若您需要查询或查看这些数据，系统能够将加密后的数据还原为原始内容进行展示。

什么是对称加密？

对称加密是一种加密方式，使用相同的密钥对数据进行加密和解密，就像一把钥匙既能锁上也能打开同一把锁。

更多详情，可参考对称加密。

定义数据查看权限¶

为转发的数据设置查看权限，从而提高数据安全性。

无限制自定义

工作空间的所有成员均可查看转发数据。

指定可以查看转发数据的成员角色。

管理转发规则¶

所有被创建的数据转发规则，均可在转发规则列表中查看。您可通过以下操作来管理列表：

输入规则名称进行搜索；
启用或禁用当前规则；
点击规则右侧的搜索、编辑或删除按钮，进行相应操作；
可选中多个规则进行批量操作。

注意

查看转发数据最多存在 1 小时延迟；
编辑模式下，访问类型和地区不可调整；选择观测云存储的规则，编辑和查看内容一致；
删除规则后，已转发的数据不会被删除，但不再产生新数据。

数据查看¶

在“数据查看”页面，可依据时间范围和转发规则搜索查询最新数据结果。此处还可通过直接通过 key:value 的格式进行字段搜索。

系统会根据选中的时间按批次获取文件搜索匹配数据，每批返回 50 条。若首次查询未查到数据或返回不足 50 条，可手动点击“继续查询”直至扫描完成。

搜索查询逻辑

您可使用字段 :~ 值格式进行搜索查询，该查询采用正则匹配逻辑。

系统会将所有包含 字段 : 值 字符串的内容匹配返回，即假设输入一个 host:~ hangzhou 的搜索条件，那么所有数据里面包含 host: hangzhou 都会返回，不支持精准匹配；
多个筛选条件间关系为 OR。

数据转发查询时长¶

配置查询时长后，查看转发数据时，查询时间区间将会受到此处时长配置的影响。

进入管理 > 空间设置 > 高级设置 > 配置查询时长；
选择时长
确定。