fields

Use fields para mostrar campos específicos en los resultados de la consulta.

Si su consulta tiene varios comandos fields y no incluye un comando display, los resultados mostrarán todos los campos que se especifican en los comandos fields.

Ejemplo: mostrar campos específicos

El ejemplo siguiente muestra una consulta que devuelve 20 eventos de registro y los organiza en orden descendente. Los valores para @timestamp y @message se muestran en los resultados de la consulta.

fields @timestamp, @message
| sort @timestamp desc
| limit 20 

Se debe utilizar fields en lugar de display cuando se quieran utilizar las diferentes funciones y operaciones que admite fields para modificar los valores de los campos y crear nuevos campos que se puedan usar en las consultas.

Puede utilizar el comando fields con la palabra clave as para crear campos extraídos que utilicen campos y funciones en los eventos de registro. Por ejemplo, fields ispresent as isRes crea un campo extraído denominado isRes, y ese campo extraído se puede utilizar en el resto de la consulta.