Splunk Search

subsearchの上限について

nishida_tada_ca
Loves-to-Learn Lots

subsearchの上限について教えてください。
デフォルト10000件のままですが10000件を超えたsubsearchが使用可能なように思えます。
どのようなケースでエラーになりますでしょうか。

0 Karma

HiroshiSatoh
Champion

マニュアルを読んでもらえば記述が見つかると思いますが、maxoutはappend等のコマンドはデフォルト値を別に持っているのでそちらが優先されます。なのでlimits.confを超えて出力されます。
https://docs.splunk.com/Documentation/Splunk/latest/Search/Aboutsubsearches

<サブサーチでlimits.confの値を使う例>※10000件でエラー
index=* [| makeresults count=100000|table _time]

<append のmaxoutの値が使われる例>※50000件でエラー
| makeresults |append [| makeresults count=100000]

to4kawa
Ultra Champion

about sub searches

limits.confの設定を変えていなくて、10000件以上の結果が返ってきたのですか?

0 Karma

tkomatsubara_sp
Splunk Employee
Splunk Employee

[アクティビティ]-[ジョブ]-の先で、対象サーチに対して、search.logのログでlimits.confに抵触したかどうかが分かります。
やりたい内容によっては、subsearchを使わずに済む場合があり、熟練した方はsubsearchをいかに回避するか、がコツです。
具体的なSPLなどをご記入いただければ、もう少しアドバイスが可能かと思います。

0 Karma
Career Survey
First 500 qualified respondents will receive a $20 gift card! Tell us about your professional Splunk journey.
Get Updates on the Splunk Community!

.conf25 Global Broadcast: Don’t Miss a Moment

Hello Splunkers, .conf25 is only a click away.  Not able to make it to .conf25 in person? No worries, you can ...

Observe and Secure All Apps with Splunk

 Join Us for Our Next Tech Talk: Observe and Secure All Apps with SplunkAs organizations continue to innovate ...

What's New in Splunk Observability - August 2025

What's New We are excited to announce the latest enhancements to Splunk Observability Cloud as well as what is ...