是否可以在 Splunk 仪表板中修改现有报告？

Question

我已经在 Splunk 中创建了报告：“splunk_report”。 我想在 Splunk 仪表板中使用它。

我已经添加了新面板 -> 来自报告的新面板，但现在它向我显示了一个表格（正如它在保存的报告中定义的那样）我想获取该表格中的总行数。 可以统计当前报告吗？ 例如。 "splunk_report" | 统计计数（系统）

我不想复制整个搜索查询，因为将来报告中的搜索更改时，我必须在 2 个地方更改它。

Answer 1

除非您将报告添加为内联搜索（或报告通过outputlookup生成查找）， outputlookup您所描述的内容是不可能的。

如果您将其添加为内联搜索，您又会回到最初的问题，即每次使用内联搜索时都需要更新它以及原始报告

不过，我经常使用预定报告来创建查找表（出于性能原因）。 如果你这样做，那么你可以参考信息中心中的查找表，以及任何你想要像任何其他的查找表，用它做：

| inputlookup mylookup.csv
| stats count

要么

| inputlookup mylookup.csv
| stats count by system

等等

如果要将汇总数据添加到仪表板上的统计表，请格式化可视化并添加总计：

Answer 2

我找到了另一个解决方案：创建保存的搜索并参考现有报告：

<search id="save_search" ref="splunk_report">

在第二个保存的搜索中添加基本搜索：

<search id="save_search2" base="save_search">
    <query>| stats count(system)</query>