如何在 splunk 中根據用戶選擇在儀表板中向下鑽取或向上鑽取

Question

我是 splunk 的新手，需要一些幫助。 我需要創建一個儀表板來根據選擇向下鑽取和向上鑽取。 例如，我有一家公司的組織信息以及他們的 kpi 分數。 如果我必須根據選擇向下鑽取/向上鑽取，我該怎么做？ 這是供您參考的示例數據。

userid KPI Score Manager_id Org_structure

abcd12 4 Manager1 abcd12/Manager1/Director1/VP1/CIO
abcd34 3 Manager1 abcd34/Manager1/Director1/VP1/CIO
abcd56 9 Manager1 abcd56/Manager1/Director1/VP1/CIO
abcd78 10 Manager1 abcd78/Manager1/Director1/VP1/CIO
abcd90 8 Manager1 abcd90/Manager1/Director1/VP1/CIO
user001 7 Manager2 user001/Manager2/Director1/VP1/CIO
user002 8 Manager2 user002/Manager2/Director1/VP1/CIO
user003 6 Manager2 user003/Manager2/Director1/VP1/CIO

Manager1 KPI 將是他所有報告人的平均值，依此類推。 Director1 KPI 將是他的所有直接下屬及其下屬的平均值。 （在這種情況下，Manager1 和 Manager 2 KPI 的平均值）。 有人可以分享我們怎么做嗎？

我期望 Manager1 KPI 的 output 后跟其他信息。 如果我向上鑽取，它應該計算所有。 知道我們如何實現這一目標嗎？

Answer 1

你是什么意思“鑽”？ Splunk 沒有這樣的概念。

我可能會通過將 Org_structure 字段拆分為組件並讓用戶選擇用於分組的組件來解決此問題。 在此示例中， $component$是用戶選擇的令牌（可能是從下拉列表中選擇的），並且包含“user”、“manager”、“director”、“vp”或“cio”之一。

... | eval components=split(Org_structure, "/") 
| eval user=mvindex(components, 0), manager=mvindex(components, 1), director=mvindex(Org_structure, 2), vp=mvindex(components, 3), cio=mvindex(components, 4) 
| stats avg(KPIScore) as KPIScore by $component$