topic Re: Field Aliases in Splunk Search

Field Aliases

HeinzWaescher — Tue, 14 Jan 2014 13:51:24 GMT

Hi,

I want to configure some field aliases. I want to add an alias C for the fields A & B.
I've done this in the settings, but in the search it only works for field A. Is it not possible to set one alias for 2 different fields?

Best
Heinz

Re: Field Aliases

martin_mueller — Tue, 14 Jan 2014 15:25:39 GMT

What is the value of C supposed to be if both A and B exist?

Re: Field Aliases

HeinzWaescher — Wed, 15 Jan 2014 14:19:34 GMT

Users can appear in both fields. I would like to have a way to create stats about distinct users. That's why I wanted to set two aliases:

A=C
B=C

Then I would have to deal only with one field (C) in the search.

PS: Next to that, I don't know how to handle a search for distinct user over 2 fields 😉

Re: Field Aliases

martin_mueller — Wed, 15 Jan 2014 14:41:51 GMT

You could do this:

... | eval C = coalesce(A, B) | stats dc(C)

"Use A if exists, else use B". That can be stored in a calculated field if you like.

Re: Field Aliases

HeinzWaescher — Wed, 15 Jan 2014 14:56:38 GMT

I tried this out, but dc(c) is always equal to dc(a).
The fields A & B can both appear in one event. So I think that's why this command is just using the users of the field A.

Re: Field Aliases

martin_mueller — Wed, 15 Jan 2014 15:11:36 GMT

If A and B exist in one event then my C will eval to A.

What should the value of C be in this case? (See my comment on your question)

Re: Field Aliases

HeinzWaescher — Wed, 15 Jan 2014 15:22:15 GMT

I thought I can collect all users from A & B in this field and use dc(C) to get the total distinct usercount.

But it doesn't make sense via an alias, because there would be more than 1 value for the field C in each event?!

In the end, I'm just looking for way to dc(users). These users can appear in the fields A & B.

Re: Field Aliases

martin_mueller — Wed, 15 Jan 2014 16:13:07 GMT

That's beyond an alias. You basically want to merge A and B into a multi-value field.

You can eval your way there though, like this:

index=_internal | eval sst = source."###".sourcetype | makemv sst delim="###" | stats dc(source) dc(sourcetype) dc(sst)

Imagine source is A, sourcetype is B, and sst is C. That eval should be includeable in a calculated field, but probably not the makemv. You can go macro of course.

Re: Field Aliases

HeinzWaescher — Thu, 16 Jan 2014 12:26:27 GMT

Hi Martin,

ich wechsel mal die Sprache, macht's etwas einfacher 😉

Deinen Ansatz kann ich soweit nachvollziehen, allerdings scheint dc(sst) nicht wie gewünscht zu funktionieren. Soll hierbei jedes einzelne Element der multivalue fields gezählt werden?

Meine Suche:

| eval C=A."###".B | makemv C delim="###" | stats dc(A), dc(B), dc(C)

Außerdem ist "sst" oft leer.

Re: Field Aliases

martin_mueller — Thu, 16 Jan 2014 12:32:50 GMT

Das ist der Plan. Example:

| stats count as foo | eval foo = "1-1,2-3,3-5" | makemv foo delim="," | mvexpand foo | makemv foo delim="-" | appendpipe [stats dc(foo)]

Result:

foo   dc(foo)
1
1

2
3

3
5

.     4

dc(foo) ist korrekt, denn foo enthält 1,2,3,5 - also distinct count = 4.

Re: Field Aliases

HeinzWaescher — Thu, 16 Jan 2014 13:18:12 GMT

Hast recht, die Zählung ist richtig. Ich habe mir das erzeugte "foo" (oder C in meinem Beispiel) Feld exportiert und extern gezählt.
Irgendetwas mache ich aber noch falsch, bzw. die Einträge in "foo" (C) sind nicht zielführend. Das Ergebniss dc(foo) (bzw. dc(c)) ist geringer als dc(A) und auch geringer als dc(B). Das darf ja nicht sein.

Re: Field Aliases

martin_mueller — Thu, 16 Jan 2014 13:25:08 GMT

dc(C) < dc(A) darf in der Tat nicht sein - aber da läuft vorher was falsch, vermutlich beim Befüllen von C.

Re: Field Aliases

HeinzWaescher — Thu, 16 Jan 2014 13:28:14 GMT

Genau, ich habe es mal überprüft mit:

...| search A=* AND B=* | eval sst=A."###".B | table sst

Einige Ergebnisfelder sehen so aus: 26828###15624
Andere hingegen sind leer, obwohl sie es nicht sein dürften.

Es scheinen die Felder leer zu sein, wenn im Event mehrere Male das Feld A oder mehrere Male das Feld B auftritt.

Re: Field Aliases

martin_mueller — Thu, 16 Jan 2014 14:49:57 GMT

Na klar - wenn A oder B multi-value fields sind, geht die Stringkonkatenation aus meinem Beispiel nicht.

Re: Field Aliases

HeinzWaescher — Thu, 16 Jan 2014 15:16:00 GMT

Ich glaube um das Problem zu umgehen funktionert folgendes:

| eval A_joined = mvjoin(A, ",")
| eval B_joined = mvjoin(B, ",")
| eval C = A_joined + "," + B_joined
| makemv delim="," C | stats dc(C), dc(A), dc(B)

Sieht von den Ergebnissen her auf den ersten Blick besser aus. Muss ich aber noch in ein paar Richtungen testen.