如何在查詢中使用 Splunk 函數

Question

這里的任何人都知道如何在 Splunk 查詢中使用內置函數（案例）？ 我發現的所有示例都是處理查詢結果（我不能把它放在 eval 或 | 之后）

我需要類似的東西。

index=case(indexVar == "qa", "qa-all", indexVar == "prod", "prod-all") sourcetype="kube:container:rail-service"

OBS 我不能只連接 indexVar + "-all"

Answer 1

function case可能是內置的，但這並不意味着您可以在任何地方使用它。 它僅對eval 、 fieldformat和where命令有效。

一種解決方法是將eval放在子搜索中。

sourcetype="kube:container:rail-service" [ 
  | makeresults 
  | eval index=case(indexVar == "qa", "qa-all", indexVar == "prod", "prod-all") 
  | fields index ]