高级过滤器不能表达ISNULL？

Question

这两个过滤器返回零结果：

• resource.labels:* AND resource.labels.namespace_name:*
• resource.labels:* AND NOT resource.labels.namespace_name:*

虽然这个回报很多：

• resource.labels:*

我对此有三个问题：

1. 这是怎么回事？
2. 更重要的是，如何排除特定值 namespace_name while not 不包括未定义的记录 命名空间名称？
3. 同样，如何为所有未定义命名空间名称的记录编写过滤器？

Answer 1

我从事 Stackdriver Logging 工作，并使用过处理查询的代码。

你是对的：存在操作符 (:*) 有问题，它的工作方式与其他操作符不同。因此，否定存在运算符的行为不直观（或特别有用）。

我们认为这是一个错误，我真的很想修复它；但是，修复此类错误是一个漫长的过程，因此我提出了一些解决方法。

1. 这是怎么回事？

我无法重现您的第一个“零结果”过滤器：resource.labels:* AND resource.labels.namespace_name:*

这为我提供了包含namespace_name 标签的大量日志列表。对于它的价值，resource.labels.namespace_name:* 意味着 resource.labels:*，所以实际上你只需要这个过滤器的后半部分。

您的第二个“零结果”过滤器：resource.labels:* AND NOT resource.labels.namespace_name:*

...遇到了一个错误，其中字段存在检查 (:*) 无法与否定正确交互。

1. 更重要的是，如何排除 namespace_name 的特定值而不排除未定义 namespace_name 的记录？

虽然日志 API 不需要，但 GCP 发出的资源通常会发出 same sets of labels for a given resource type。您可以利用这一点，使用resource.type 将带标签的资源与不带标签的资源隔离开来，然后仅将标签约束应用于带标签的资源子句：

(resource.type != "k8s_container") OR
(resource.type = "k8s_container" AND resource.labels.namespace_name != "my-value")

在这里，我们依赖于所有带有namespace_name 标签的k8s_container 类型条目，通常情况下应该如此。您可以修改它以选择多个 Kubernetes 前缀资源：

(NOT resource.type:"k8s_") OR
(resource.type:"k8s_" AND resource.labels.namespace_name != "my-value")

...或使用复杂的resource.type 子句专门选择要从命名空间匹配中包含/排除的内容。

(NOT (resource.type = "k8s_container" OR resource.type = "k8s_pod")) OR
((resource.type = "k8s_container" OR resource.type = "k8s_pod") AND resource.labels.namespace_name != "my-value")

您不能查询没有 namespace_name 标签的 k8s_container 类型，但通常不应首先发出这些标签。

1. 同样，如何为所有未定义 namespace_name 的记录编写过滤器？

由于该错误，您现在无法执行此操作。我认为您最好的选择是识别所有使用 namespace_name 的 resource types 并使用 resource.type 过滤器排除这些类型：

NOT (
  resource.type = "k8s_container" OR
  resource.type = "k8s_pod" OR
  resource.type = "knative_revision")

请注意，如前所述，虽然可能（API 允许）有一个没有namespace_name 标签的k8s_container 资源，但发出的k8s_container 日志通常应该有标签.