Splunk Search

10000行を超える結果の表示について

KagotaniMasato
Explorer

stats count byで1万行を超える検索結果に対して、次の処理をしたいと考えています
limits.confを編集しても1万行を超える検索結果が返されませんが、どのように設定すれば1万行を超える検索結果を表示できるようになりますでしょうか?

0 Karma
1 Solution

Suda
Communicator

limits.confを編集していない、私のテスト環境では、stats count byで、1万行以上の検索結果が出力され、次の処理もできます。

実行例:
index=_internal | head 200000 | stats count by _raw | stats count
result: count = 199927   

なお、1万行以上のデータが扱えないと聞くと、sortコマンドの影響を連想します。
sortは、sort 0 fieldnameのように無制限を意味する「0」を明記しないと1万行で切ってしまいます。ご確認ください。
sortコマンドリファレンス
検索式全体を記載いただくと、より具体的に考える事ができます。ご検討ください。

View solution in original post

0 Karma

Suda
Communicator

limits.confを編集していない、私のテスト環境では、stats count byで、1万行以上の検索結果が出力され、次の処理もできます。

実行例:
index=_internal | head 200000 | stats count by _raw | stats count
result: count = 199927   

なお、1万行以上のデータが扱えないと聞くと、sortコマンドの影響を連想します。
sortは、sort 0 fieldnameのように無制限を意味する「0」を明記しないと1万行で切ってしまいます。ご確認ください。
sortコマンドリファレンス
検索式全体を記載いただくと、より具体的に考える事ができます。ご検討ください。

0 Karma

KagotaniMasato
Explorer

ありがとうございました
解決しました

0 Karma
Get Updates on the Splunk Community!

Built-in Service Level Objectives Management to Bridge the Gap Between Service & ...

Wednesday, May 29, 2024  |  11AM PST / 2PM ESTRegister now and join us to learn more about how you can ...

Get Your Exclusive Splunk Certified Cybersecurity Defense Engineer at Splunk .conf24 ...

We’re excited to announce a new Splunk certification exam being released at .conf24! If you’re headed to Vegas ...

Share Your Ideas & Meet the Lantern team at .Conf! Plus All of This Month’s New ...

Splunk Lantern is Splunk’s customer success center that provides advice from Splunk experts on valuable data ...