如何从 Splunk 中的 JSON 字符串中提取字段

Question

搜索后在 Splunk 中，我得到以下结果-

FINISH OnDemandModel - Model: Application:GVAP RequestID:test_manifest_0003 Project:AMPS EMRid:j-XHFRN0A4M3QQ status:success

我想将 Application、RequestID、Project、EMRid 和状态等字段提取为列，并将相应的值提取为这些列的值。

我是 Splunk 的新手，不知道如何使用 spath 或其他搜索命令。

Answer 1

使用rex 命令：

<search>
rex field=yourfield "Application:(?<application>\w+)\sRequestID:(?<requestid>\w+)\sProject:(?<project>\w+)\sEMRid:(?<emrid>\w+)\sstatus:(?<status>\w+)"

在 regex101.com 微调你的正则表达式