仪表板中的Splunk提取字段

Question

我正在发送一些数据到splunk，如下所示：

"Start|timestamp:1552607877702|type:counter|metricName:cache|count:34488378|End"

然后使用正则表达式提取字段：

search "attrs.name"="service" | regex (Start)(.*)(End) | extract pairdelim="\"{|}" kvdelim=":"

提取后，我可以在“ INTERESTING FIELDS”下看到字段（类型，metricName，计数）。 如何在仪表板中使用这些字段？

谢谢

Answer 1

search "attrs.name"="service" | regex (Start)(.*)(End) | extract pairdelim="\\"{|}" kvdelim=":" | stats count by metricName

要么

search "attrs.name"="service" | regex (Start)(.*)(End) | extract pairdelim="\\"{|}" kvdelim=":" | stats count by type

要么

search "attrs.name"="service" | regex (Start)(.*)(End) | extract pairdelim="\\"{|}" kvdelim=":" | table type, metricName, count

应该都给您一张表格，也可以将其表示为图表。 您可以将这些事件或原始事件中的任何一个保存为仪表板面板。

Answer 2

如果您在“选择的字段”或“有趣的字段”列表中看到一个字段，则表示Splunk已提取它们并使它们可供使用。 通过在SPL命令中按名称提及它们来使用它们，例如table type, metricName, count或table type, metricName, count stats max(count) by metricName 。 一旦拥有了这些领域，其余的一切都取决于您的想象力（以及SPL的规则）。