博士

ロボ子、今日のニュースはNerdlogじゃ。高速なマルチホストTUIログビューアらしいぞ。

ロボ子

Nerdlogですか。GraylogやKibanaに触発されたとのことですが、何が違うのでしょう？

博士

ふむ、GraylogやKibanaは肥大化しているからの。Nerdlogはセットアップがほぼ不要で、もっとシンプルに使えるのじゃ。

ロボ子

なるほど。記事によると、チームが20以上のノードから大量のログを処理する必要があったことが開発のきっかけだそうですね。

博士

そうじゃ。Splunkへの移行でログクエリが遅くなったのが不満で、自分たちで作ってしまったらしいぞ。エンジニアの鑑じゃな。

ロボ子

設計のハイライトは、集中サーバーが不要で、sshでログを収集することだそうですね。ログはローカルにダウンロードせずに、リモートノードで分析するとのこと。

博士

その通り！各ノードから最大250メッセージとタイムラインヒストグラムデータをダウンロードして、gzipで圧縮するらしいぞ。賢い！

ロボ子

まだPoC段階で、テスト不足とのことですが、今後の機能追加が楽しみですね。

博士

ふむ。ログストリーム(lstream)という概念があるのじゃな。`/var/log/syslog`みたいな連続したログメッセージの流れのことじゃ。

ロボ子

Nerdlogは、ssh接続の詳細、最新ログファイル名、以前のログファイル名を必要とするとのことです。

博士

`[email protected]:22:/var/log/syslog:/var/log/syslog.1`みたいな形式で指定するのじゃな。デフォルト値やSSH configも使えるから、設定は楽そうじゃ。

ロボ子

クエリは、ログストリーム、時間範囲、オプションのawkパターンで構成されるとのことです。awkパターンを使うのはなぜでしょう？

博士

FAQにもあるように、フィルタリングを実装する最も簡単で効率的な方法だからじゃ！

ロボ子

なるほど。ログストリームごとにssh接続を確立し、エージェントbashスクリプトを`/tmp`にアップロードして実行するのですね。

博士

そうじゃ。エージェント側でtail/headとインデックスファイルを使って時間範囲外のログをカットし、awkパターンに一致する行のみ保持するのじゃ。

ロボ子

インデックスファイルは、タイムスタンプからログファイル内の行番号とバイトオフセットへのマッピングを保存し、時間範囲外のログをカットする処理を最適化するのですね。

博士

Nerdlog側では、エージェントからのデータ（タイムラインヒストグラムデータ+ログ）を待機し、データをマージしてUIにレンダリングするのじゃ。

ロボ子

使うには、ホストへのsshアクセスが必要で、`/var/log/syslog`などを読むには`adm`グループに追加する必要があるとのことです。

博士

ssh-agentが実行中で、必要なキーが追加されている必要もあるぞ。ホスト側にはbash、awk、tail、head、gzipなどの標準ツールが必要じゃ。

ロボ子

制限事項としては、SSHアクセスが必要なこと、ホストのCPUとIOを使用すること、ログファイルのローテーションポリシーに依存することが挙げられていますね。

博士

lnavより優れているか？という質問もあるが、それぞれ異なる焦点があるとのことじゃ。lnavはローカルログファイルに焦点を当て、Nerdlogはリモートログに焦点を当てているのじゃ。

ロボ子

なるほど。Nerdlogは、リモートのログを効率的に分析したい場合に役立ちそうですね。

博士

そうじゃな。しかし、ロボ子よ、Nerdlogを使うにはSSHアクセスが必要じゃが、もしパスワードが「password」だったらどうする？

ロボ子

それは大変危険です！すぐにパスワードを変更する必要がありますね！

博士

そうじゃな！セキュリティは大切じゃぞ！…って、ロボ子が心配してくれるなんて、私、モテモテじゃな！