Getting Data In

日本語を含むタイムスタンプの設定方法

Path Finder

以下のような日本語を含むタイムスタンプをSplunkに認識させるにはどのような設定が必要ですか?


金 3月 22 11:24:40 2013: Total time in the report period (60.000671s): 0.048412s
金 3月 22 11:25:40 2013: Total time in the report period (59.999630s): 0.000000s
金 3月 22 11:26:40 2013: Total time in the report period (59.999813s): 0.000000s

Tags (2)
0 Karma
1 Solution

Motivator

データプレビューのページで、
・タイムスタンプの直前パターン
・タイムスタンプのフォーマット
を指定することで認識させることができます。

TIMEFORMAT = %m月 %d %H:%M:%S
TIME
PREFIX = ^\W\s

alt text

実際のサーチもCLIからですが、以下のように認識されます。

alt text

別の方法ですが、datetime.xmlを用いて日付を認識させることが可能となります。
手順としては、
1.$SPLUNKHOME/etcのdatetime.xmlをカスタマイズもしくは別の定義ファイルを作成
2.別の定義ファイルを作成した場合には、データ入力の設定時にDATETIME
CONFIGパラメータで指定。
となります。

ご参考
http://docs.splunk.com/Documentation/Splunk/latest/Data/Configuretimestamprecognition

View solution in original post

Path Finder

回答ありがとうございます。
無事、認識させることができました!

0 Karma

Motivator

データプレビューのページで、
・タイムスタンプの直前パターン
・タイムスタンプのフォーマット
を指定することで認識させることができます。

TIMEFORMAT = %m月 %d %H:%M:%S
TIME
PREFIX = ^\W\s

alt text

実際のサーチもCLIからですが、以下のように認識されます。

alt text

別の方法ですが、datetime.xmlを用いて日付を認識させることが可能となります。
手順としては、
1.$SPLUNKHOME/etcのdatetime.xmlをカスタマイズもしくは別の定義ファイルを作成
2.別の定義ファイルを作成した場合には、データ入力の設定時にDATETIME
CONFIGパラメータで指定。
となります。

ご参考
http://docs.splunk.com/Documentation/Splunk/latest/Data/Configuretimestamprecognition

View solution in original post

Motivator

サーチはCLIではなくて、GUIからでした…失礼しました

0 Karma