Splunk - Pivot และชุดข้อมูล
Splunk สามารถนำเข้าแหล่งข้อมูลประเภทต่างๆและสร้างตารางซึ่งคล้ายกับตารางเชิงสัมพันธ์ เหล่านี้เรียกว่าtable dataset หรือเพียงแค่ tables. พวกเขาให้วิธีง่ายๆในการวิเคราะห์และกรองข้อมูลและการค้นหา ฯลฯ ชุดข้อมูลตารางเหล่านี้ยังใช้ในการสร้างการวิเคราะห์เดือยที่เราเรียนรู้ในบทนี้
การสร้างชุดข้อมูล
เราใช้ Splunk Add-on ที่ชื่อว่า Splunk Datasets Add-on เพื่อสร้างและจัดการชุดข้อมูล สามารถดาวน์โหลดได้จากเว็บไซต์ Splunkhttps://splunkbase.splunk.com/app/3245/#/details.จะต้องติดตั้งโดยทำตามคำแนะนำที่ระบุในแท็บรายละเอียดในลิงค์นี้ ในการติดตั้งสำเร็จเราจะเห็นปุ่มชื่อCreate New Table Dataset.
การเลือกชุดข้อมูล
ต่อไปเราคลิกที่ไฟล์ Create New Table Dataset และให้เรามีตัวเลือกในการเลือกจากสามตัวเลือกด้านล่าง
Indexes and Source Types - เลือกจากดัชนีหรือแหล่งที่มาที่มีอยู่ซึ่งเพิ่มลงใน Splunk แล้วผ่านแอป Add Data
Existing Datasets - คุณอาจสร้างชุดข้อมูลบางชุดไว้แล้วก่อนหน้านี้ซึ่งคุณต้องการแก้ไขโดยสร้างชุดข้อมูลใหม่จากชุดข้อมูลนั้น
Search - เขียนคำค้นหาและสามารถใช้ผลลัพธ์เพื่อสร้างชุดข้อมูลใหม่ได้
ในตัวอย่างของเราเราเลือกดัชนีเพื่อเป็นแหล่งข้อมูลชุดดังที่แสดงในภาพด้านล่าง -
การเลือกฟิลด์ชุดข้อมูล
เมื่อคลิกตกลงในหน้าจอด้านบนเราจะเห็นตัวเลือกให้เลือกฟิลด์ต่างๆที่เราต้องการเข้าสู่ชุดข้อมูลตารางในที่สุด ฟิลด์ _time ถูกเลือกโดยค่าเริ่มต้นและไม่สามารถทิ้งฟิลด์นี้ได้ เราเลือกฟิลด์:bytes, categoryID, clientIP และ files.
เมื่อคลิกเสร็จสิ้นในหน้าจอด้านบนเราจะได้ตารางชุดข้อมูลสุดท้ายพร้อมฟิลด์ที่เลือกทั้งหมดดังที่แสดงด้านล่าง ที่นี่ชุดข้อมูลมีลักษณะคล้ายกับตารางเชิงสัมพันธ์ เราบันทึกชุดข้อมูลด้วยsave as ตัวเลือกที่มีอยู่ที่มุมขวาบน
การสร้าง Pivot
เราใช้ชุดข้อมูลข้างต้นเพื่อสร้างรายงาน Pivot รายงาน Pivot แสดงการรวมค่าของคอลัมน์หนึ่งโดยเทียบกับค่าในคอลัมน์อื่น กล่าวอีกนัยหนึ่งค่าคอลัมน์หนึ่งถูกสร้างเป็นแถวและค่าคอลัมน์อื่นจะถูกสร้างเป็นแถว
เลือกการดำเนินการกับชุดข้อมูล
เพื่อให้บรรลุสิ่งนี้อันดับแรกเราเลือกชุดข้อมูลโดยใช้แท็บชุดข้อมูลจากนั้นเลือกตัวเลือก Visualize with Pivot จากคอลัมน์การดำเนินการสำหรับชุดข้อมูลนั้น
เลือกฟิลด์ Pivot
ต่อไปเราจะเลือกฟิลด์ที่เหมาะสมสำหรับการสร้างตาราง Pivot เราเลือกรหัสหมวดหมู่ในไฟล์split columnsเนื่องจากเป็นฟิลด์ที่ค่าควรปรากฏเป็นคอลัมน์ต่างกันในรายงาน จากนั้นเราเลือกไฟล์ในไฟล์Split Rowsเนื่องจากเป็นฟิลด์ที่ควรแสดงค่าเป็นแถว ผลลัพธ์จะแสดงจำนวนของค่า categoryid แต่ละค่าสำหรับแต่ละค่าในฟิลด์ไฟล์
จากนั้นเราสามารถบันทึกตาราง Pivot เป็นรายงานหรือแผงควบคุมในแดชบอร์ดที่มีอยู่เพื่อใช้อ้างอิงในอนาคต