Splunk Search

subsearchの上限について

nishida_tada_ca
Loves-to-Learn Lots

subsearchの上限について教えてください。
デフォルト10000件のままですが10000件を超えたsubsearchが使用可能なように思えます。
どのようなケースでエラーになりますでしょうか。

0 Karma

HiroshiSatoh
Champion

マニュアルを読んでもらえば記述が見つかると思いますが、maxoutはappend等のコマンドはデフォルト値を別に持っているのでそちらが優先されます。なのでlimits.confを超えて出力されます。
https://docs.splunk.com/Documentation/Splunk/latest/Search/Aboutsubsearches

<サブサーチでlimits.confの値を使う例>※10000件でエラー
index=* [| makeresults count=100000|table _time]

<append のmaxoutの値が使われる例>※50000件でエラー
| makeresults |append [| makeresults count=100000]

to4kawa
Ultra Champion

about sub searches

limits.confの設定を変えていなくて、10000件以上の結果が返ってきたのですか?

0 Karma

tkomatsubara_sp
Splunk Employee
Splunk Employee

[アクティビティ]-[ジョブ]-の先で、対象サーチに対して、search.logのログでlimits.confに抵触したかどうかが分かります。
やりたい内容によっては、subsearchを使わずに済む場合があり、熟練した方はsubsearchをいかに回避するか、がコツです。
具体的なSPLなどをご記入いただければ、もう少しアドバイスが可能かと思います。

0 Karma
Get Updates on the Splunk Community!

Build Scalable Security While Moving to Cloud - Guide From Clayton Homes

 Clayton Homes faced the increased challenge of strengthening their security posture as they went through ...

Mission Control | Explore the latest release of Splunk Mission Control (2.3)

We’re happy to announce the release of Mission Control 2.3 which includes several new and exciting features ...

Cloud Platform | Migrating your Splunk Cloud deployment to Python 3.7

Python 2.7, the last release of Python 2, reached End of Life back on January 1, 2020. As part of our larger ...