Splunk - Pivot und Datensätze
Splunk kann verschiedene Arten von Datenquellen aufnehmen und Tabellen erstellen, die relationalen Tabellen ähneln. Diese nennt mantable dataset oder nur tables. Sie bieten einfache Möglichkeiten zum Analysieren und Filtern der Daten und Nachschlagen usw. Diese Tabellendatensätze werden auch zum Erstellen von Pivot-Analysen verwendet, die wir in diesem Kapitel lernen.
Erstellen eines Datensatzes
Wir verwenden ein Splunk-Add-On namens Splunk-Datasets-Add-On, um die Datasets zu erstellen und zu verwalten. Es kann von der Splunk-Website heruntergeladen werden.https://splunkbase.splunk.com/app/3245/#/details.Die Installation muss gemäß den Anweisungen auf der Registerkarte "Details" unter diesem Link erfolgen. Bei erfolgreicher Installation wird eine Schaltfläche mit dem Namen angezeigtCreate New Table Dataset.
Datensatz auswählen
Als nächstes klicken wir auf die Create New Table Dataset Schaltfläche und es gibt uns die Möglichkeit, aus den folgenden drei Optionen zu wählen.
Indexes and Source Types - Wählen Sie aus einem vorhandenen Index oder Quelltyp aus, die Splunk bereits über die App Daten hinzufügen hinzugefügt wurden.
Existing Datasets - Möglicherweise haben Sie bereits zuvor ein Dataset erstellt, das Sie ändern möchten, indem Sie daraus ein neues Dataset erstellen.
Search - Schreiben Sie eine Suchabfrage und das Ergebnis kann verwendet werden, um einen neuen Datensatz zu erstellen.
In unserem Beispiel wählen wir einen Index als Datenquelle, wie in der Abbildung unten dargestellt.
Datensatzfelder auswählen
Wenn Sie im obigen Bildschirm auf OK klicken, wird eine Option angezeigt, mit der Sie die verschiedenen Felder auswählen können, die endgültig in den Tabellendatensatz aufgenommen werden sollen. Das Feld _time ist standardmäßig ausgewählt und kann nicht gelöscht werden. Wir wählen die Felder:bytes, categoryID, clientIP und files.
Wenn Sie im obigen Bildschirm auf Fertig klicken, erhalten Sie die endgültige Dataset-Tabelle mit allen ausgewählten Feldern (siehe unten). Hier ähnelt der Datensatz einer relationalen Tabelle. Wir speichern den Datensatz mitsave as Option in der oberen rechten Ecke verfügbar.
Pivot erstellen
Wir verwenden den obigen Datensatz, um einen Pivot-Bericht zu erstellen. Der Pivot-Bericht spiegelt die Aggregation der Werte einer Spalte in Bezug auf die Werte in einer anderen Spalte wider. Mit anderen Worten, Werte für eine Spalte werden in Zeilen und Werte für eine andere Spalte in Zeilen umgewandelt.
Wählen Sie Dataset Action
Um dies zu erreichen, wählen wir zuerst den Datensatz über die Registerkarte Datensatz aus und wählen dann die Option Visualize with Pivot aus der Spalte Aktionen für diesen Datensatz.
Wählen Sie die Pivot-Felder
Als Nächstes wählen wir die entsprechenden Felder zum Erstellen der Pivot-Tabelle aus. Wir wählen die Kategorie ID in dersplit columnsOption, da dies das Feld ist, dessen Werte im Bericht als unterschiedliche Spalten angezeigt werden sollen. Dann wählen wir Datei in derSplit RowsOption, da dies das Feld ist, dessen Werte in Zeilen dargestellt werden sollen. Das Ergebnis zeigt die Anzahl der einzelnen Kategorie-ID-Werte für jeden Wert im Dateifeld.
Als Nächstes können wir die Pivot-Tabelle als Bericht oder Bedienfeld in einem vorhandenen Dashboard speichern, um später darauf zurückgreifen zu können.