Splunk - Thẻ

Thẻ được sử dụng để gán tên cho các kết hợp trường và giá trị cụ thể. Các trường này có thể là loại sự kiện, máy chủ lưu trữ, nguồn hoặc loại nguồn, v.v. Bạn cũng có thể sử dụng thẻ để nhóm một tập hợp các giá trị trường lại với nhau, để bạn có thể tìm kiếm chúng bằng một lệnh. Ví dụ: bạn có thể gắn thẻ tất cả các tệp khác nhau được tạo vào thứ Hai vào một thẻ có tên mon_files.

Để tìm cặp giá trị trường mà chúng tôi sẽ gắn thẻ, chúng tôi cần mở rộng các sự kiện và xác định vị trí trường sẽ được xem xét. Hình ảnh dưới đây cho thấy cách chúng tôi có thể mở rộng sự kiện để xem các trường -

Tạo thẻ

Chúng tôi có thể tạo thẻ bằng cách thêm giá trị thẻ vào cặp giá trị trường bằng cách sử dụng Edit Tagstùy chọn như hình dưới đây. Chúng tôi chọn trường trong cột Hành động.

Màn hình tiếp theo nhắc chúng ta xác định thẻ. Đối với trường Trạng thái, chúng tôi chọn giá trị trạng thái là 503 hoặc 505 và gán thẻ có tên server_error như hình dưới đây. Chúng ta phải thực hiện lần lượt bằng cách chọn hai sự kiện, mỗi sự kiện có các sự kiện có giá trị trạng thái là 503 và 505. Hình ảnh bên dưới cho thấy phương thức cho giá trị trạng thái là 503. Chúng ta phải lặp lại các bước tương tự cho một sự kiện có giá trị trạng thái là 505.

Tìm kiếm bằng thẻ

Sau khi các thẻ được tạo, chúng ta có thể tìm kiếm các sự kiện có chứa Thẻ bằng cách chỉ cần viết tên Thẻ vào thanh tìm kiếm. Trong hình ảnh bên dưới, chúng ta thấy tất cả các sự kiện có trạng thái: 503 hoặc 505.