自助搜索
什么是自助搜索
自助搜索功能使您能够查找和筛选从数据源接收的用户事件。您可以浏览底层用户事件及其属性。这些事件可帮助您识别任何数据问题并进行故障排除。搜索页面显示数据源的各个方面（维度）和量度。您可以定义搜索查询并应用筛选器来查看符合定义条件的事件。默认情况下，自助搜索页面显示最近一天的用户事件。
目前，自助搜索功能可用于以下数据源：
此外，您还可以对符合定义策略的事件执行自助搜索。有关详细信息，请参阅 自助搜索策略。
如何访问自助搜索
您可以使用以下选项访问自助搜索：
-
顶栏：单击顶栏中的 搜索 可查看所选数据源的所有用户事件。
-
用户个人资料页面上的风险时间表：单击 事件搜索 可查看相应用户的事件。
从顶部栏进行自助搜索
使用此选项可从用户界面中的任何位置转到自助搜索页面。
-
单击 搜索 以查看自助服务页面。
-
选择数据源和时间段以查看相应的事件。
从用户的风险时间表进行自助搜索
如果要查看与风险指示器关联的用户事件，请使用此选项。
当您从用户的时间轴中选择风险指示器时，风险指示器信息部分将显示在右侧窗格中。单击 事件搜索 可在自助搜索页面上浏览与用户和数据源关联的事件（为其触发风险指示器）。
有关用户风险时间表的更多信息，请参阅 风险时间表。
如何使用自助搜索
使用自助搜索页面上的以下功能：
-
用于输入查询和筛选事件的搜 索框。
-
用于选择时间 段的时间选择器。
-
查看事件图表的时间轴详细信息 。
-
用于查看事件的事件数据 。
-
导出为 CSV 格式 ，将搜索事件下载为 CSV 文件。
-
导出可视摘要 以下载搜索查询的可视摘要报告。
-
多列排 序用于按多列对事件进行排序。
使用 Facets 过滤事件
Facets 是构成事件的数据点的摘要。Facet 因数据源而异。例如，访问控制数据源的方面包括信誉、操作、位置和类别组。而 Virtual Apps and Desktops 的方面是事件类型、域和平台。
选择要过滤搜索结果的平面。选定的小平面显示为筹码。
有关与每个数据源相对应的方面的详细信息，请参阅本文前面提到的数据源的自助搜索文章。
使用搜索框中的搜索查询过滤事件
将光标置于搜索框中时，搜索框会根据用户事件显示维度列表。这些维度因数据源而异。使用维度和有效 运算符 定义搜索条件并搜索所需的事件。
例如，在访问权限的自助搜索中，您可以获得访问事件的以下维度。使用维度键入查询，选择时间段，然后单击 搜索。
搜索查询中支持的运算符
在搜索查询中使用以下运算符来优化搜索结果。
| 操作员 | 说明 | 示例 | 输出 |
|---|---|---|---|
| ： | 为搜索维度分配一个值。 | 用户名：John | 显示用户 John 的事件。 |
| = | 为搜索维度分配一个值。 | 用户名 = John | 显示用户 John 的事件。 |
| ~ | 搜索具有相似值的事件。 | 用户名 ~ test | 显示具有相似用户名的事件。 |
| ”” | 用空格分隔的值括起来。 | User-Name = “John Smith” | 显示用户约翰·史密斯的事件。 |
| <, > | 搜索关系价值。 | 数据量 > 100 | 显示数据量大于 100 GB 的事件。 |
| 与 | 搜索指定条件为真的事件。 | User-Name : John AND Data Volume > 100 | 显示用户 John 的事件，其中数据量大于 100 GB。 |
| !~ | 检查事件中指定的匹配模式。此 NOT LIKE 运算符返回事件字符串中任意位置不包含匹配模式的事件。 | User-Name !~ John | 显示除 John、John Smith 或包含匹配名称 “John” 的任何此类用户以外的用户的事件。 |
| != | 检查事件是否确切指定的字符串。此 NOT EQUAL 运算符返回事件字符串中任意位置不包含确切字符串的事件。 | Country != USA | 显示除美国以外国家/地区的活动。 |
| * | 搜索与指定字符串匹配的事件。目前，只有 = 运算符和 != 运算符支持 * 运算符。搜索结果区分大小写。 | User-Name = John* | 显示以 John 开头的所有用户名的事件。 |
| User-Name = *John* | 显示包含 John 的所有用户名的事件。 | ||
| User-Name = *Smith | 显示以 Smith 结尾的所有用户名的事件。 | ||
| User-Name != John* | 显示不以 John 开头的所有用户名的事件。 | ||
| User-Name != *Smith | 显示不以 Smith 结尾的所有用户名的事件。 | ||
| 在 | 为搜索维度分配多个值以获取与一个或多个值相关的事件。注意：目前，您可以将此运算符与 Citrix Virtual Apps and Desktops 的以下维度一起使用 - Device ID、Domain、Event-Type 和 User-Name。此运算符仅适用于字符串值。 |
User-Name IN (John, Kevin) | 查找与约翰或凯文相关的所有活动。 |
| 不在 | 为搜索维度分配多个值，然后查找不包含指定值的事件。注意：目前，您可以将此运算符与 Citrix Virtual Apps and Desktops 的以下维度一起使用 - Device ID、Domain、Event-Type 和 User-Name。此运算符仅适用于字符串值。 |
User-Name NOT IN (John, Kevin) | 查找除 John 和 Kevin 之外的所有用户的活动。 |
| 是空的 | 检查维度的空值或空值。此运算符仅适用于字符串类型的维度，例如 App-Name、Browser 和 Country。它不适用于非字符串（数字）类型的维度，例如 Upload-File-Size、Download-File-Size 和 Client-IP。 |
国家/地区是空的 | 查找国家名称不可用或为空（未指定）的事件。 |
| 不是空的 | 检查维度的非空值或特定值。此运算符仅适用于字符串类型的维度，例如 App-Name、Browser 和 Country。它不适用于非字符串（数字）类型的维度，例如 Upload-File-Size、Download-File-Size 和 Client-IP。 |
国家/地区不是空的 | 查找可用或指定了国家/地区名称的事件。 |
注意
对于 NOT 等 于运算符，在为查询中的维度输入值时，请使用自助搜索页面上提供的数据源的精确值。尺寸值区分大小写。
有关如何为数据源指定搜索查询的详细信息，请参阅本文前面提到的有关数据源的自助搜索文章。
选择查看活动的时间
选择预设时间或输入自定义时间范围，然后单击 搜索 以查看事件。
查看时间轴详细信息
时间轴提供所选时间段内用户事件的图形表示。移动选择器栏以选择时间范围并查看与所选时间范围对应的事件。
图中显示了访问数据的时间轴详细信息。
查看活动
您可以查看有关用户事件的详细信息。在 DATA 表中，单击每列的箭头以查看用户事件详细信息。
图中显示了有关用户访问数据的详细信息。
添加或删除列
您可以在事件表中添加或删除列以显示或隐藏相应的数据点。请执行以下操作：
-
单击 添加或删除列。
-
从列表中选择或取消选择数据元素，然后单击 “ 更新”。
如果从列表中取消选择一个数据点，则会从事件表中删除相应的列。但是，您可以通过展开用户的事件行来查看该数据点。例如，当您从列表中取消选择 TIME 数据点时，TIME 列将从事件表中移除。要查看时间记录，请展开用户的事件行。
将事件导出到 CSV 文件
将搜索结果导出为 CSV 文件并保存以供参考。单击 导出为 CSV 格式 以导出事件并下载生成的 CSV 文件。
导出视觉摘要
您可以下载搜索查询的可视摘要报告，并与其他用户、管理员或管理团队共享副本。
单击 导出可视摘要 以 PDF 格式下载视觉摘要报告。该报告包含以下信息：
-
您为选定时间段内的事件指定的搜索查询。
-
在所选时间段内，您在事件上应用的方面（过滤器）。
-
可视摘要，例如时间轴图、条形图或选定时间段内搜索事件的图形。
对于数据源，只有在以条形图、时间线详细信息等视觉格式显示数据时，才能下载可视摘要报告。否则，此选项不可用。例如，您可以下载数据源的可视摘要报告，例如 Virtual Apps and Desktops、会话，您可以在其中将数据视为时间线详细信息和条形图。对于用户和计算机等数据源，您只能看到表格格式的数据。因此，您无法下载任何视觉摘要报告。
多列排序
排序有助于组织数据并提供更好的可见性。在自助搜索页面上，您可以按一列或多列对用户事件进行排序。这些列表示各种数据元素的值，例如用户名、日期和时间以及 URL。这些数据元素因选定的数据源而异。
要执行多列排序，请执行以下操作：
-
单击 “ 排序方式”。
-
从 “ 排序方式 ” 列表中选择一列。
-
选择排序顺序-升序（向上箭头）或降序（向下箭头）以对列中的事件进行排序。
-
单击 + 添加列。
-
从 “ 然后依 据” 列表中选择另一列。
-
选择排序顺序-升序（向上箭头）或降序（向下错误）以对列中的事件进行排序。
注意
您最多可以添加六列来执行排序。
-
单击应用。
-
如果不想应用上述设置，请单击 “ 取消”。要删除所选列的值，请单击 “ 全部清除”。
以下示例显示了对访问控制事件的多列排序。事件按时间排序（从最新到最早的顺序），然后按 URL（按字母顺序）排序。
或者，您可以使用 Shift 键执行多列排序。按住 Shift 键并单击列标题以对用户事件进行排序。
如何保存自助搜索
作为管理员，您可以保存自助查询。此功能可节省重写经常用于分析或故障排除的查询的时间和精力。以下选项随查询一起保存：
- 应用的搜索筛选
- 选定的数据源和持续时间
执行以下操作以保存自助服务查询：
-
选择所需的数据源和持续时间。
-
在搜索栏中键入查询。
-
应用所需的过滤器。
-
单击 “ 保存搜索”。
-
指定用于保存自定义查询的名称。
注意请
确保查询名称是唯一的。否则，查询不会保存。
-
如果要定期向自己和其他用户发送搜索查询报告的副本，请启用 “ 计划电 子邮件报告” 按钮。 有关详细信息，请参阅为搜索查询安排电子邮件。
-
单击保存。
要查看保存的搜索：
-
单击查看保存的搜索。
-
单击搜索查询的名称。
要删除已保存的搜索：
-
单击查看保存的搜索。
-
选择已保存的搜索查询。
-
单击 删除保存的搜索。
要修改已保存的搜索：
-
单击查看保存的搜索。
-
单击已保存的搜索查询的名称。
-
根据您的要求修改搜索查询或小平面选择。
-
单击 更新搜索 > 保存 以更新和保存使用相同的搜索查询名称保存修改后的搜索。
-
如果要使用新名称保存修改后的搜索，请单击向下箭头，然后单击 另存为新搜索 > 另存为。
如果用新名称替换搜索，则搜索将另存为新条目。如果在替换时保留现有搜索名称，则修改后的搜索数据将覆盖现有的搜索数据。
注意
- 只有查询所有者可以修改或删除其保存的搜索。
- 您可以复制保存的搜索链接地址以与其他用户共享。
为搜索查询安排电子邮件
通过设置电子邮件发送计划，您可以定期向自己和其他用户发送搜索查询报告的副本。
仅当搜索查询报告包含条形图、时间线详细信息等视觉格式的数据时，此选项才可用。否则，您无法安排电子邮件发送。例如，您可以为数据源安排电子邮件，例如 Virtual Apps and Desktops、会话，您可以在其中将数据视为时间线详细信息和条形图。对于用户和计算机等数据源，您只能看到表格格式的数据。因此，您无法安排电子邮件。
在保存搜索查询的同时安排电子邮件
保存搜索查询时，请按如下方式设置电子邮件发送计划：
-
在 “ 保存搜索 ” 对话框中，启用 “ 计划电子邮件报告 ” 按钮。
-
输入或粘贴收件人的电子邮件地址。
注意
不支持电子邮件组。
-
设置电子邮件发送的日期和时间。
-
选择配送频率-每天、每周或每月。
-
单击保存。
为已保存的搜索查询安排电子邮件
如果要为之前保存的搜索查询设置电子邮件发送计划，请执行以下操作：
-
单击查看保存的搜索。
-
转到您创建的搜索查询。单击 电子邮件此查询 图标。
注意
只有查询所有者可以安排其保存的搜索查询的电子邮件发送。
-
启用计 划电子邮件报告 按钮。
-
输入或粘贴收件人的电子邮件地址。
注意
不支持电子邮件组。
-
设置电子邮件发送的日期和时间。
-
选择配送频率-每天、每周或每月。
-
单击保存。
停止搜索查询的电子邮件发送计划
-
单击查看保存的搜索。
-
转到您创建的搜索查询。单击查 看电子邮件发送计划 图标。
注意
只有查询所有者可以停止其保存的搜索查询的电子邮件计划。
-
禁用计 划电子邮件报告 按钮。
-
单击保存。
邮件内容
收件人会收到来自“Citrix Cloud - 通知 donotreplynotifications@citrix.com”的有关搜索查询报告的电子邮件。该报告作为 PDF 文档附件。电子邮件将按您在 计划电子邮件报告 设置中定义的定期间隔发送。
搜索查询报告包含以下信息：
-
您为选定时段内的事件指定的搜索查询。
-
您在事件上应用的方面（过滤器）。
-
视觉摘要，例如时间线图、条形图或搜索事件的图表。