Splunk-조회
검색어의 결과로 필드의 의미를 명확하게 전달하지 못할 수있는 값이 표시되는 경우가 있습니다. 예를 들어 제품 ID 값을 숫자 결과로 나열하는 필드를 얻을 수 있습니다. 이 숫자는 그것이 어떤 종류의 제품인지 알 수 없습니다. 그러나 제품 ID와 함께 제품 이름을 나열하면 검색 결과의 의미를 이해할 수있는 좋은 보고서가됩니다.
두 데이터 세트의 동일한 값을 사용하여 한 필드의 값을 다른 데이터 세트의 동일한 이름을 가진 필드에 연결하는 것을 조회 프로세스라고합니다. 장점은 두 개의 다른 데이터 세트에서 관련 값을 검색한다는 것입니다.
조회 파일을 만들고 사용하는 단계
데이터 세트에서 조회 필드를 성공적으로 생성하려면 아래 단계를 따라야합니다.
조회 파일 생성
host가있는 데이터 세트를 web_application으로 간주하고 productid 필드를 살펴 봅니다. 이 필드는 숫자 일 뿐이지 만 쿼리 결과 집합에 제품 이름이 반영되기를 원합니다. 다음 세부 정보로 조회 파일을 생성합니다. 여기서는 첫 번째 필드의 이름을 다음과 같이 유지했습니다.productid 데이터 세트에서 사용할 필드와 동일합니다.
productId,productdescription
WC-SH-G04,Tablets
DB-SG-G01,PCs
DC-SG-G02,MobilePhones
SC-MG-G10,Wearables
WSC-MG-G10,Usb Light
GT-SC-G01,Battery
SF-BVS-G01,Hard Drive
조회 파일 추가
다음으로 아래와 같이 설정 화면을 사용하여 Splunk 환경에 조회 파일을 추가합니다.
조회를 선택하면 조회를 만들고 구성 할 수있는 화면이 표시됩니다. 아래와 같이 조회 테이블 파일을 선택합니다.
파일을 선택합니다. productidvals.csv업로드 할 조회 파일로 검색하고 대상 앱으로 검색을 선택합니다. 또한 동일한 대상 파일 이름을 유지합니다.
저장 버튼을 클릭하면 파일이 Splunk 리포지토리에 조회 파일로 저장됩니다.
조회 정의 만들기
위에서 업로드 한 조회 파일에서 검색 쿼리가 값을 조회 할 수 있으려면 조회 정의를 만들어야합니다. 우리는 다시Settings → Lookups → Lookup Definition → Add New .
다음으로, 추가 한 조회 정의의 가용성을 확인합니다. Settings → Lookups → Lookup Definition .
조회 필드 선택
다음으로 검색 쿼리에 대한 조회 필드를 선택해야합니다. 이것은 내 갈 것입니다 New search → All Fields . 그런 다음 확인란을 선택하십시오.productid 자동으로 추가됩니다 productdescription 조회 파일의 필드도 있습니다.
조회 필드 사용
이제 아래와 같이 검색 쿼리에서 조회 필드를 사용합니다. 시각화에는 productid 대신 productdescription 필드가있는 결과가 표시됩니다.