Splunk Search

インデックスの設定について

satoshitonoike
Engager

現行、勤怠管理をしているDBから排出されるデータを受信し、分析する用途で本ツールを使用したいと考えています。
この受信するデータは、月初から現在までの累積データが毎日作成・修正が行われます。
そのため、昨日以前のデータを破棄または検索不化にし、常に新しいデータのみを表示させたいのです。

そこで、frozenTimePeriodInSecsを設定し、1日毎にindex内のデータをフローズン化させることで、検索にかからないようにするのが良いのではないだろうかと思って、検証していますが、一向にうまくいきません。
状況としては、徐々にデータが消えていき、設定した時間をオーバーして全件フローズン化されるといった状況です。

解決したい事項としましては、フローズン化されるまで受信したデータを表示し続けること、frozenTimePeriodInSecsの設定時間通りにフローズン化されることです。
もしくは、違う方法ので上記の課題解決ができるなど、ありましたら、ご回答願いたいです。
よろしくお願いします。

0 Karma

Hajime
Path Finder

違う方法としましては、検索対象の時間範囲を当日のみにすればよいと思いますが、いかがでしょうか。
※前提条件としては、イベントのタイムスタンプがデータの作成・修正時刻となっていることです。
なお、frozenTimePeriodInSecsの設定値については、イベントのタイムスタンプをベースとし、設定値に達したものからフローズンの状態に遷移します(既定ではデータが削除されます)ので、タイムスタンプが正しく設定されていないと期待する動作にはなりません。

0 Karma

satoshitonoike
Engager

ご回答いただき、ありがとうございます。
できればデータの削除も含めた形で自動分析させたいと思っているので、できればフローズン化をできるのが一番良いと思ってますが、難しそうならご回答のような方法を使いたいと思います。

0 Karma
Get Updates on the Splunk Community!

.conf24 | Registration Open!

Hello, hello! I come bearing good news: Registration for .conf24 is now open!   conf is Splunk’s rad annual ...

ICYMI - Check out the latest releases of Splunk Edge Processor

Splunk is pleased to announce the latest enhancements to Splunk Edge Processor.  HEC Receiver authorization ...

Introducing the 2024 SplunkTrust!

Hello, Splunk Community! We are beyond thrilled to announce our newest group of SplunkTrust members!  The ...