收集 VMware Aria Suite（以前称为 VMware vRealize Suite）日志

支持：

本指南介绍了如何使用 Bindplane 将 VMware Aria Suite（以前称为 VMware vRealize Suite）日志注入到 Google Security Operations。

VMware Aria Suite（以前称为 VMware vRealize Suite，现在作为 VMware Cloud Foundation 和 vSphere Foundation 的一部分提供）是一个云管理平台，可为混合云和多云环境提供运营管理、自动化、日志分析和网络可见性功能。解析器使用基于 msg_type 字段的 grok 模式从 syslog 消息中提取字段，将其映射到统一数据模型 (UDM)，并使用网络信息、用户详细信息和资源属性丰富数据。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
  • Bindplane 代理与 VMware Aria Suite 环境之间的网络连接
  • 如果在代理后面运行，请确保按照 Bindplane 代理要求打开防火墙端口
  • 对 VMware Aria Operations（或 VMware Aria Suite）的管理员访问权限

获取 Bindplane 代理的 Google SecOps 凭据

如需向 Google SecOps 验证 Bindplane 代理的身份，请选择以下方法之一：

  • 新部署：使用 Chronicle API（选项 1）。
  • 旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。
  1. 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
  2. 前往 IAM 和管理 > 服务账号。
  3. 点击创建服务账号。
  4. 提供以下配置详细信息：
    • 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
    • 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
  5. 点击创建并继续。
  6. 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
  7. 点击继续，然后点击完成。
  8. 点击您创建的服务账号，然后前往密钥标签页。
  9. 依次点击添加密钥> 创建新密钥。
  10. 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
  11. 将密钥文件另存为 Bindplane 收集器目录（Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以匹配您保存该文件的路径。
  12. 前往 IAM 和管理 > 设置，然后复制项目编号。您需要此信息才能配置导出器。

方法 2：下载数据注入身份验证文件（旧版）

  1. 登录 Google SecOps 控制台。
  2. 前往 SIEM 设置> 收集代理。
  3. 下载数据注入身份验证文件。
  4. 将文件安全地保存在将安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 前往 SIEM 设置 > 个人资料。

  3. 从组织详细信息部分复制并保存客户 ID。

安装 Bindplane 代理

根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sc query observiq-otel-collector

该服务应显示为 RUNNING。

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sudo systemctl status observiq-otel-collector

该服务应显示为 active (running)。

其他安装资源

如需了解其他安装选项和问题排查，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并发送到 Google SecOps

找到配置文件

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vmware_vrealize:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VMWARE_VREALIZE
    raw_log_field: body

service:
  pipelines:
    logs/vmware_vrealize_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vmware_vrealize

配置参数

替换以下占位符：

  • 接收器配置：

    • listen_address：要监听的 IP 地址和端口：

      • 0.0.0.0 在所有接口上监听（推荐）
      • 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）

  • 导出器配置：

    • creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：

      • Linux：/opt/observiq-otel-collector/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

    • customer_id：从 Google SecOps 控制台复制的客户 ID

    • location：将 <LOCATION> 替换为 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1）。导出工具会在此值前面加上 chronicle.googleapis.com。如需查看完整列表，请参阅区域级端点。

    • project：将 <PROJECT_NUMBER> 替换为“IAM 和管理”>“设置”中的项目编号。

    • endpoint：保持设置为 chronicle.googleapis.com。

旧版提取 API 导出工具

  • 如果您使用选项 2 中的提取身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为提取身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

    exporters:
  chronicle/vmware_vrealize:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VMWARE_VREALIZE
    raw_log_field: body

保存配置文件

  • 修改后，保存文件：
    • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请执行以下操作：

  1. 运行以下命令：

    sudo systemctl restart observiq-otel-collector

  2. 验证服务是否正在运行：

    sudo systemctl status observiq-otel-collector

  3. 检查日志中的错误：

    sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

  1. 请从下列选项中选择一项：

    • 以管理员身份运行命令提示符或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector

    • “服务”控制台：

      1. 按 Win+R，输入 services.msc，然后按 Enter 键。
      2. 找到 observIQ OpenTelemetry 收集器。
      3. 右键点击并选择重启。

  2. 验证服务是否正在运行：

      sc query observiq-otel-collector

  3. 检查日志中的错误：

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 VMware Aria Operations 中配置 syslog 转发

  1. 登录 VMware Aria Operations 网页界面。
  2. 依次前往 Administration（管理）> Management（管理）> Outbound Settings（出站设置）。
  3. 点击 Add（添加）。
  4. 在插件类型下拉菜单中，选择 Syslog。

  5. 提供以下配置详细信息：

    • 实例名称：输入一个唯一名称来标识 syslog 目标位置（例如 Chronicle-Bindplane）。
    • 节点：输入 Bindplane 代理主机（例如 192.168.1.100）的 IP 地址。
    • 端口：输入 514。
    • 协议：选择 UDP。

  6. 点击测试以验证与 Bindplane 代理的连接。

  7. 点击保存以应用出站 syslog 设置。

UDM 映射表

日志字段 UDM 映射 逻辑
actorDomain principal.hostname 原始日志中的 actorDomain 值会映射到 UDM 字段。
actorId principal.resource.attribute.labels.key 字符串“actorId”已分配给该键。
actorId principal.resource.attribute.labels.value 原始日志中的 actorId 值会分配给该值。
actorId additional.fields.key 字符串“actorId”已分配给该键。
actorId additional.fields.value.string_value 原始日志中的 actorId 值会分配给该值。
actorUserName principal.user.userid 原始日志中的 actorUserName 值会映射到 UDM 字段。
actorUuid principal.resource.attribute.labels.key 字符串“actorUuid”已分配给该键。
actorUuid principal.resource.attribute.labels.value 原始日志中的 actorUuid 值会分配给该值。
actorUuid additional.fields.key 字符串“actorUuid”已分配给该键。
actorUuid additional.fields.value.string_value 原始日志中的 actorUuid 值会分配给该值。
all_request_headers.sec-ch-ua-platform principal.platform 该值派生自 all_request_headers.sec-ch-ua-platform。如果包含“win”或“windows”（不区分大小写），则值为“WINDOWS”。如果包含“Mac”（不区分大小写），则值为“MAC”。如果包含“lin”或“linux”（不区分大小写），则值为“LINUX”。
all_request_headers.X-Requested-With network.application_protocol 如果值包含“http”（不区分大小写），则将值设置为“HTTP”。
automation_tag metadata.product_event_type 原始日志中的 automation_tag 值会映射到 UDM 字段。
client_ip principal.ip 原始日志中的 client_ip 值会映射到 UDM 字段。
client_src_port principal.port 原始日志中的 client_src_port 值会映射到 UDM 字段。
comp about.resource.attribute.labels.key 字符串“Component”已分配给该键。
comp about.resource.attribute.labels.value 原始日志中的 comp 值会分配给该值。
compression additional.fields.key 字符串“compression”已分配给该键。
compression additional.fields.value.string_value 原始日志中的压缩值会分配给该值。
data about.resource.attribute.labels.key 逻辑取决于 msg_type。如果 msg_type 为“Vpxa”“Hostd”或“VSANMGMTSVC”，则系统会使用键值对解析数据字段，并将特定键（例如 opID、sub）映射到 about.resource.attribute.labels。如果 msg_type 为“SWITCHING”“FABRIC”“MONITORING”“SYSTEM”“ROUTING”“LOAD”“nsx”“nestdb”“cfgAgent”“NSX”或“NSXV”，则系统会解析数据字段，查找 comp、subcomp、s2comp 等键，然后将这些键映射到 about.resource.attribute.labels。
data about.resource.attribute.labels.value 请参阅 about.resource.attribute.labels.key 的逻辑。
data security_result.description 如果 msg_type 为“Vpxa”“Hostd”或“VSANMGMTSVC”，并且在解析键值对的数据后，如果存在 msg 字段，则其值会分配给 security_result.description。
description security_result.description 如果原始日志中存在说明字段，则其值会映射到 UDM 字段。
deviceId principal.resource.attribute.labels.key 字符串“deviceType”已分配给该键。
deviceId principal.resource.attribute.labels.value 原始日志中 values.deviceType 的值会分配给该值。
deviceId additional.fields.key 字符串“deviceType”已分配给该键。
deviceId additional.fields.value.string_value 原始日志中 values.deviceType 的值会分配给该值。
direction network.direction 如果值为“OUT”，则会映射到“OUTBOUND”。如果为“IN”，则映射到“INBOUND”。
dst_ip target.ip 原始日志中的 dst_ip 值会映射到 UDM 字段。
dst_port target.port 原始日志中的 dst_port 值会映射到 UDM 字段。
event_source principal.url 原始日志中的 event_source 值会映射到 UDM 字段。
headers_received_from_server.Access-Control-Allow-Origin target.resource.attribute.labels.key 字符串“headers_received_from_server.Access-Control-Allow-Origin”已分配给该键。
headers_received_from_server.Access-Control-Allow-Origin target.resource.attribute.labels.value 原始日志中 headers_received_from_server.Access-Control-Allow-Origin 的值会分配给该值。
headers_received_from_server.Content-Security-Policy principal.resource.attribute.labels.key 字符串“headers_received_from_server.Content-Security-Policy”已分配给该键。
headers_received_from_server.Content-Security-Policy principal.resource.attribute.labels.value 原始日志中 headers_received_from_server.Content-Security-Policy 的值会分配给该值。
headers_received_from_server.Cookie target.resource.attribute.labels.key 字符串“headers_received_from_server.Cookie”会分配给该键。
headers_received_from_server.Cookie target.resource.attribute.labels.value 原始日志中 headers_sent_to_server.Cookie 的值会分配给该值。
headers_received_from_server.set-cookie target.resource.attribute.labels.key 字符串“headers_received_from_server.set-cookie”已分配给该键。
headers_received_from_server.set-cookie target.resource.attribute.labels.value 原始日志中 headers_received_from_server.set-cookie 的值会分配给该值。
headers_sent_to_server.sec-ch-ua principal.resource.attribute.labels.key 字符串“headers_sent_to_server.sec-ch-ua”已分配给该键。
headers_sent_to_server.sec-ch-ua principal.resource.attribute.labels.value 原始日志中 headers_sent_to_server.sec-ch-ua 的值会分配给该值。
headers_sent_to_server.X-CSRF-TOKEN principal.resource.attribute.labels.key 字符串“headers_sent_to_server.X-CSRF-TOKEN”会分配给该键。
headers_sent_to_server.X-CSRF-TOKEN principal.resource.attribute.labels.value 原始日志中 headers_sent_to_server.X-CSRF-TOKEN 的值会分配给该值。
hostname principal.hostname 原始日志中的 hostname 值会映射到 UDM 字段。
hostname intermediary.hostname 原始日志中的 hostname 值会映射到 UDM 字段。
host principal.hostname 原始日志中的主机值会映射到 UDM 字段。
isLocal additional.fields.key 字符串“isLocal”已分配给该键。
isLocal additional.fields.value.string_value 原始日志中 isLocal 的值会分配给该值。
json_data Various fields within principal, target, additional, and security_result 原始日志中的 json_data 数据字段会被解析为 JSON，提取的字段会根据其名称和解析器的逻辑映射到各种 UDM 字段。这包括 uuid、tenantId、actorId、actorUserName、actorDomain、sourceIp、objectName、objectType、objectId、values.resourceType、values.success 等字段。
kv_data Various fields kv_data 数据字段会被解析为键值对，提取的字段会根据其名称和解析器的逻辑映射到各种 UDM 字段。
level security_result.severity 如果值为“info”（不区分大小写），则映射到“INFORMATIONAL”。
log_id metadata.product_log_id 原始日志中的 log_id 值会映射到 UDM 字段。
message Various fields 消息字段是主要的数据源，系统会使用 grok 模式对其进行广泛解析，以提取各种字段，例如 ts、hostname、msg_type、sub_msg 等。然后，系统会根据解析器的逻辑，使用这些提取的字段填充不同的 UDM 字段。
method network.http.method 原始日志中的 method 值会映射到 UDM 字段。
msg security_result.description 如果 msg_type 为“Vpxa”“Hostd”“VSANMGMTSVC”“SWITCHING”“FABRIC”“ROUTING”“LOAD-BALANCER”“nsx”“nestdb”“cfgAgent”“NSX”“NSXV”或“Rhttpproxy”，并且在进行任何相关的 grok 解析后，如果 msg 字段存在，则将其值分配给 security_result.description。此逻辑中针对特定消息内容（例如“keepalive 连接”）有特殊情况。
msg_type metadata.product_event_type 如果 msg_type 为“FIREWALL_PKTLOG”或“FIREWALL-PKTLOG”，则其值会映射到 UDM 字段。
objectName target.resource.attribute.labels.key 字符串“objectName”已分配给该键。
objectName target.resource.attribute.labels.value 原始日志中的 objectName 值会分配给该值。
objectName additional.fields.key 字符串“objectName”已分配给该键。
objectName additional.fields.value.string_value 原始日志中的 objectName 值会分配给该值。
objectId target.resource.attribute.labels.key 字符串“objectId”已分配给该键。
objectId target.resource.attribute.labels.value 原始日志中的 objectId 值会分配给该值。
objectId additional.fields.key 字符串“objectId”已分配给该键。
objectId additional.fields.value.string_value 原始日志中的 objectId 值会分配给该值。
objectType target.resource.attribute.labels.key 字符串“objectType”已分配给该键。
objectType target.resource.attribute.labels.value 原始日志中的 objectType 值会分配给该值。
objectType additional.fields.key 字符串“objectType”已分配给该键。
objectType additional.fields.value.string_value 原始日志中的 objectType 值会分配给该值。
objectType security_result.description 如果 objectType 为“LAUNCH”且 success 不为“true”，则说明为“application launch attempt was successful”（应用启动尝试成功）。如果 objectType 为“LAUNCH_ERROR”且 success 不为“true”，则说明为“用户使用无效请求启动了应用”。
opID about.resource.attribute.labels.key 字符串“opId”已分配给该键。
opID about.resource.attribute.labels.value 原始日志中的 opID 值会分配给该值。
pool additional.fields.key 字符串“pool”已分配给该键。
pool additional.fields.value.string_value 原始日志中的 pool 值会分配给该值。
pool_name additional.fields.key 字符串“pool_name”已分配给该键。
pool_name additional.fields.value.string_value 原始日志中的 pool_name 值会分配给该值。
protocol network.ip_protocol 原始日志中的协议值会转换为大写，并映射到 UDM 字段。如果值为“PROTO”，则不进行映射。
protocol additional.fields.key 如果 protocol 的值为“PROTO”，则将字符串“ip_protocol”分配给该键。
protocol additional.fields.value.string_value 如果协议的值为“PROTO”，则将原始日志中的协议值分配给该值。
query_data network.dns.questions.name 系统会解析 query_data 字段以提取 question_name，然后将其映射到 UDM 字段。
query_data network.dns.questions.type 系统会解析 query_data 字段以提取 query_type，然后使用从“dns_record_type.include”中包含的查找功能将 query_type 映射到 UDM 字段。
query_data network.dns.questions.class 系统会解析 query_data 字段以提取 dns_class，然后使用“dns_query_class_mapping.include”中包含的查找功能将其映射到 UDM 字段。
referer principal.url 原始日志中的引荐来源网址值会映射到 UDM 字段。
request_content_type additional.fields.key 字符串“request_content_type”已分配给该键。
request_content_type additional.fields.value.string_value 原始日志中的 request_content_type 值会分配给该值。
request_state additional.fields.key 字符串“request_state”已分配给该键。
request_state additional.fields.value.string_value 原始日志中的 request_state 值会分配给该值。
response_code network.http.response_code 原始日志中的 response_code 或 server_response_code 值会映射到 UDM 字段。
response_content_type additional.fields.key 字符串“request_content_type”已分配给该键。
response_content_type additional.fields.value.string_value 原始日志中的 response_content_type 值会分配给该值。
rule_id security_result.rule_id 原始日志中的 rule_id 值会映射到 UDM 字段。
s2comp about.resource.attribute.labels.key 字符串“S2-Component”已分配给该键。
s2comp about.resource.attribute.labels.value 原始日志中的 s2comp 值会分配给该值。
server_ip target.ip 原始日志中的 server_ip 值会映射到 UDM 字段。
server_name target.hostname 原始日志中的 server_name 值会映射到 UDM 字段。
server_response_code network.http.response_code 请参阅 response_code 的逻辑。
server_src_port target.port 原始日志中的 server_src_port 值会映射到 UDM 字段。
service_engine additional.fields.key 字符串“service_engine”已分配给该键。
service_engine additional.fields.value.string_value 原始日志中的 service_engine 值会分配给该值。
sourceIp principal.ip 原始日志中的 sourceIp 值会映射到 UDM 字段。
ssl_cipher network.tls.cipher 原始日志中的 ssl_cipher 值会映射到 UDM 字段。
ssl_session_id network.session_id 原始日志中的 ssl_session_id 值会映射到 UDM 字段。
ssl_version network.tls.version_protocol 原始日志中的 ssl_version 值会映射到 UDM 字段。
sub about.resource.attribute.labels.key 字符串“Sub Component”已分配给该键。
sub about.resource.attribute.labels.value 原始日志中的“sub”值会分配给该值。
subClusterUuid additional.fields.key 字符串“subClusterUuid”已分配给该键。
subClusterUuid additional.fields.value.string_value 原始日志中的 subClusterUuid 值会分配给该值。
sub_msg Various fields within principal, target, network, security_result, and about 系统会根据 msg_type 以不同的方式解析 sub_msg 字段。可以使用 grok 模式或键值对将其解析为 JSON。然后，系统会根据提取的字段名称和解析器的逻辑，将这些字段映射到各种 UDM 字段。这包括 ip_type、action、rule_id、direction、protocol、tcp_flag、src_ip、src_port、dst_ip、dst_port、data、msg 等字段。
subcomp about.resource.attribute.labels.key 字符串“Sub Component”已分配给该键。
subcomp about.resource.attribute.labels.value 原始日志中的 subcomp 值会分配给该值。
tenantId principal.resource.attribute.labels.key 字符串“tenantId”已分配给该键。
tenantId principal.resource.attribute.labels.value 原始日志中的 tenantId 值会分配给该值。
tenantId additional.fields.key 字符串“tenantId”已分配给该键。
tenantId additional.fields.value.string_value 原始日志中的 tenantId 值会分配给该值。
ts metadata.event_timestamp 原始日志中的 ts 值会被解析为时间戳，并映射到 UDM 字段。
ts timestamp 原始日志中的 ts 值会被解析为时间戳，并映射到 UDM 字段。
updateType additional.fields.key 字符串“updateType”已分配给该键。
updateType additional.fields.value.string_value 原始日志中的 updateType 值会分配给该值。
uri_path network.http.referral_url 原始日志中的 uri_path 值会映射到 UDM 字段。
user_agent network.http.user_agent 原始日志中的 user_agent 值会映射到 UDM 字段。
user_agent network.http.parsed_user_agent 原始日志中的 user_agent 值会被解析为用户代理字符串，并映射到 UDM 字段。
USER principal.user.user_display_name 原始日志中的 USER 值会映射到 UDM 字段。
values.actorExternalId principal.resource.attribute.labels.key 字符串“actorExternalId”已分配给该键。
values.actorExternalId principal.resource.attribute.labels.value 原始日志中 values.actorExternalId 的值会分配给该值。
values.actorExternalId additional.fields.key 字符串“actorExternalId”已分配给该键。
values.actorExternalId additional.fields.value.string_value 原始日志中 values.actorExternalId 的值会分配给该值。
values.deviceType principal.resource.attribute.labels.key 字符串“deviceType”已分配给该键。
values.deviceType principal.resource.attribute.labels.value 原始日志中 values.deviceType 的值会分配给该值。
values.deviceType additional.fields.key 字符串“deviceType”已分配给该键。
values.deviceType additional.fields.value.string_value 原始日志中 values.deviceType 的值会分配给该值。
values.resourceType principal.resource.resource_subtype 原始日志中的 values.resourceType 值会映射到 UDM 字段。principal.resource.type 设置为“VIRTUAL_MACHINE”。
values.success security_result.action 如果值为“true”（不区分大小写），则会映射到“ALLOW”。如果为“false”（不区分大小写），则会映射到“BLOCK”。
virtualservice additional.fields.key 字符串“virtualservice”已分配给该键。
virtualservice `additional.fields.value.string_value" 原始日志中的 virtualservice 值会分配给该值。
vmw_vr_ops_appname about.resource.attribute.labels.key 字符串“Ops AppName”已分配给该键。
vmw_vr_ops_appname about.resource.attribute.labels.value 原始日志中的 vmw_vr_ops_appname 值会分配给该值。
vmw_vr_ops_clustername about.resource.attribute.labels.key 字符串“Ops ClusterName”已分配给该键。
vmw_vr_ops_clustername about.resource.attribute.labels.value 原始日志中的 vmw_vr_ops_clustername 值会分配给该值。
vmw_vr_ops_logtype about.resource.attribute.labels.key 字符串“Ops Logtype”已分配给该键。
`vmw_vr_ops_logtype" about.resource.attribute.labels.value 原始日志中的 vmw_vr_ops_logtype 值会分配给该值。
vmw_vr_ops_nodename about.resource.attribute.labels.key 字符串“Ops NodeName”已分配给该键。
vmw_vr_ops_nodename about.resource.attribute.labels.value 原始日志中的 vmw_vr_ops_nodename 值会分配给该值。
vs_name additional.fields.key 字符串“vs_name”已分配给该键。
vs_name additional.fields.value.string_value 原始日志中的 vs_name 值会分配给该值。
etag event.idm.read_only_udm.target.resource.attribute.labels 从更新日志映射
request_length event.idm.read_only_udm.network.sent_bytes 从更新日志映射
server_response_length event.idm.read_only_udm.network.received_bytes 从更新日志映射
server_conn_src_ip event.idm.read_only_udm.intermediary.ip 从更新日志映射
vs_ip event.idm.read_only_udm.intermediary.ip 从更新日志映射
persistent_session_id event.idm.read_only_udm.additional.fields 从更新日志映射
client_rtt event.idm.read_only_udm.additional.fields 从更新日志映射
server_response_time_first_byte event.idm.read_only_udm.additional.fields 从更新日志映射
server_response_time_last_byte event.idm.read_only_udm.additional.fields 从更新日志映射
response_length event.idm.read_only_udm.additional.fields 从更新日志映射
response_time_first_byte event.idm.read_only_udm.additional.fields 从更新日志映射
response_time_last_byte event.idm.read_only_udm.additional.fields 从更新日志映射
compression_percentage event.idm.read_only_udm.additional.fields 从更新日志映射
client_insights event.idm.read_only_udm.additional.fields 从更新日志映射
request_headers event.idm.read_only_udm.additional.fields 从更新日志映射
server_ssl_session_id event.idm.read_only_udm.additional.fields 从更新日志映射
server_connection_reused event.idm.read_only_udm.additional.fields 从更新日志映射
response_headers event.idm.read_only_udm.additional.fields 从更新日志映射
request_id event.idm.read_only_udm.additional.fields 从更新日志映射
servers_tried event.idm.read_only_udm.additional.fields 从更新日志映射
jwt_log event.idm.read_only_udm.additional.fields 从更新日志映射
max_ingress_latency_fe event.idm.read_only_udm.additional.fields 从更新日志映射
conn_est_time_fe event.idm.read_only_udm.additional.fields 从更新日志映射
max_ingress_latency_be event.idm.read_only_udm.additional.fields 从更新日志映射
conn_est_time_be event.idm.read_only_udm.additional.fields 从更新日志映射
isLocal", "updateType", "subClusterUuid", "valueLength event.idm.read_only_udm.additional.fields 从更新日志映射

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。