Turn on suggestions
Auto-suggest helps you quickly narrow down your search results by suggesting possible matches as you type.
×
Join the Conversation
Without signing in, you're just watching from the sidelines. Sign in or Register to connect, share, and be part of the Splunk Community.
- About melonman
melonman
Motivator
Member since:
06-07-2010
06-05-2020
Community Statistics
| Posts | 438 |
| Solutions | 92 |
| Karma Given | 100 |
| Karma Received | 189 |
| Member Since | 06-07-2010 |
Activity Feed
- Got Karma for Re: インデックスのデータを時間経過で自動削除したい. 05-19-2024 08:02 PM
- Got Karma for How do I route data to specific index based on a field?. 03-31-2022 07:29 AM
- Got Karma for Lookup use without lookup definition. 01-28-2022 09:59 AM
- Got Karma for Re: Lookup use without lookup definition. 01-28-2022 09:59 AM
- Got Karma for How to track memory/cpu usage per search execution (on Search Head/Indexer)?. 01-14-2022 04:21 PM
- Got Karma for Re: ソースタイプ別データ取り込み量確認方法. 06-18-2021 11:45 PM
- Got Karma for Re: Lookup use without lookup definition. 06-07-2021 04:32 AM
- Got Karma for Lookup use without lookup definition. 06-07-2021 04:32 AM
- Got Karma for Re: dbxlookup with where function(). 11-30-2020 06:47 AM
- Got Karma for dbxlookup with where function(). 11-30-2020 06:46 AM
- Got Karma for Re: Simple XML - Drilldown to new window. 08-13-2020 03:14 AM
- Karma Re: 当日分各データと過去データの比較 for to4kawa. 06-05-2020 12:51 AM
- Got Karma for Re: 当日分各データと過去データの比較. 06-05-2020 12:51 AM
- Karma Re: Splunk Webの動作について for syokota_splunk. 06-05-2020 12:50 AM
- Karma Re: pstack以外の代替手段について for cweiliou_splunk. 06-05-2020 12:50 AM
- Karma Re: Partner Portal に "My Operational Contacts" が見つかりません for rkondo_splunk. 06-05-2020 12:50 AM
- Karma Re: ダッシュボードをpdf形式でエクスポートしたところ、いくつかのグラフが正常に表示されませんでした。 for hnoboru_splunk. 06-05-2020 12:50 AM
- Karma Re: Splunk v7.3.0のmonitoring console appのHTTP Event Collector: InstanceのUI表示がおかしい for tkomatsubara_sp. 06-05-2020 12:50 AM
- Karma Re: jemallocの採集方法について for cweiliou_splunk. 06-05-2020 12:50 AM
- Karma Re: Splunk v7.3.0のmonitoring console appのHTTP Event Collector: InstanceのUI表示がおかしい for vinod94. 06-05-2020 12:50 AM
Topics I've Started
| Subject | Karma | Author | Latest Post |
|---|---|---|---|
| 0 | |||
| 1 | |||
| 0 | |||
| 0 | |||
| 0 | |||
| 0 | |||
| 0 | |||
| 0 | |||
| 2 | |||
| 1 |
08-20-2013
02:05 AM
スクリーンショットをUploadするにはどうすればいいですか？
＊自己回答です。
以下のボタンをおして、画像を選択してもうまくUploadされない場合がありますが、
Uploadする画像を選択すると、自動的にURLのテキストボックスが埋まるので、
埋まるのをまってから、OKを押せばうまくUploadできます。
Upload後に
![alt text][1]
のような文字が追加されますが、上記の位置に画像が挿入されます。
$
... View more
- Tags:
- japanese
08-13-2013
07:57 PM
1 Karma
通常のサーチ画面だと、うまくearliest/latestをサブサーチとメインサーチで共有できないので、Viewをつかうか、Macroを使うかして、任意の１日と、任意の日から１週間前や１日前などの過去の１日との比較を行うとなんとなく、それっぽいものができそうです。
例えば、以下の様なダッシュボードを、すこし編集すれば、いけそうですが、、、
どうでしょうか。
<?xml version='1.0' encoding='utf-8'?>
<form>
<label>P1</label>
<fieldset>
<input type="text" token="date">
<label>Specify the Date (YYYY/MM/DD)</label>
<default>2013/08/10</default>
</input>
<input type="dropdown" token="past">
<label>Past</label>
<choice value="-1d">-1 day</choice>
<choice value="-1w">-1 week</choice>
<choice value="-1mon">-1 month</choice>
<choice value="-1year">-1 year</choice>
<default>-1 week</default>
</input>
</fieldset>
<row>
<table>
<title>Selected Data</title>
<searchString>
[| stats count | eval earliest=strptime("$date$","%Y/%m/%d") | eval latest=relative_time(earliest, "+1d") | return earliest latest ] | stats count by host | eval tag="$date$" | append [ search [ | stats count | eval earliest=relative_time(strptime("$date$","%Y/%m/%d"),"$past$") | eval latest=relative_time(earliest, "+1d") | return earliest latest ] | stats count by host | eval tag=strftime(relative_time(strptime("$date$","%Y/%m/%d"),"$past$"),"%Y/%m/%d") ] | xyseries host tag count
</searchString>
</table>
</row>
</form>
... View more
08-12-2013
08:10 PM
1 Karma
何もしなければ更新はされません。
自動更新をするには、
outputlookup コマンドを含むsaved search を定義して、
saved search を定期的に実行するように設定すると、
saved searchが実行されるタイミングでcsvが更新されます。
※ csvは上書きされます。
... View more
08-12-2013
02:32 AM
同じダッシュボードに、テキストボックスを設定して、テキストを入力後Searchボタンを押したら、サーチが同じページで走るというのではいかがでしょうか。
... View more
08-07-2013
07:16 PM
通常、複数のindexerにデータをクローンする場合には、forwarderを前段に配置して、データを同時に複数のindexerに投げるようにします。
おそらく、お考えの方法だと、確認していただいているようなうごきになってしまうので、forwarder 側でクローンするか、index replication(クラスタリング)を設定するかのいずれかのほうほうになるとおもいます。
... View more
08-06-2013
12:55 AM
以下のAnswerが参考になるかとおもいます。
http://splunk-base.splunk.com/answers/97951/
... View more
08-06-2013
12:53 AM
1 Karma
こんな感じでいかがでしょうか。
<table>
<searchString>
| metadata type=sourcetypes
| rename totalCount as Count recentTime as "Last Update"
</searchString>
<title>sourcetype</title>
<drilldown>
<link field="sourcetype">
<![CDATA[ /app/search/flashtimeline/?q=search%20sourcetype=$row.sourcetype$]]>
</link>
</drilldown>
</table>
http://docs.splunk.com/Documentation/Splunk/latest/Viz/Dynamicdrilldownindashboardsandforms
... View more
08-01-2013
08:45 PM
Clone dashboard_live.xml from search app, or give dashboard_live.xml to read from all app permission (Global).
... View more
08-01-2013
08:43 PM
1 Karma
おそらくサマリーページといっているのが、search appのdashboard_liveというダッシュボードだと思います。
すでにnavigationの方にviewタグを設定しているので、あとは、
・管理画面からsearch appのdashboard_liveを、任意のApp（今ご利用中のApp）に複製する
もしくは
・管理画面からsearch appのdashboard_liveの権限を変更して、全てのAppから見えるようにする
のいずれかを実施すれば大丈夫だと思います。
＃お使いのAppに入ってくるデータに特化したサマリーページを新規作成するというのが、本当は一番いいともいますよ。
... View more
07-30-2013
05:25 AM
2 Karma
出てくる時間というのは、おそらく、transactionの結果で出力されるdurationの事だとおもいます。
このdurationを集計し、1-10,11-20...という感じで、バケツを作ってあげるとできると思います。
... | transaction startswith="status=pending" endswith="status=success"
| bucket duration span=10
| chart count by type duration useother=false
いかがでしょうか。
... View more
07-28-2013
06:20 PM
Probably you can create a view with flashtimeline followed by other relater charts or table so that you can speify timechange visually by selecting or clicking on the timeline.
... View more
07-22-2013
10:15 AM
Thank you for your comment
Now I should ask Splunk Support team
... View more
07-22-2013
12:20 AM
2 Karma
joinでもいいですが、statsでまとめてしまうとわかりやすいです。
例）field1がsourcetype=Aに存在するfield、field2がsourcetpe=Bに存在するfield, zzzが両方のsourcetypeに存在するfieldとすると、
sourcetype=A OR sourcetype=B | stats list(field1) as field1 list(field2) as field2 by zzz
これで、共通のzzzに対して、それぞれのsoucetypeが持っているfield(field1,field2 ...)をグルーピングすることができます。その後に、必要な集計を行うようにするという方法ではどうでしょうか。
... View more
07-21-2013
06:41 PM
どうやら、timechart内で集計時にどの時間を表示開始時刻にするか変えているようです。
集計内容としては正しいのですが、表示時に何故か午後11時に表示が始まったり、spanを変更すると、
別の時刻から表示が始まったりするようです。
以下、earliest=-1d@d latest=@d | timechart span=6h sum(key1) as sum の場合
以下、earliest=-1d@d latest=@d | timechart span=1h sum(key1) as sum の場合
なので、少しトリッキーですが、過去7日のデータを使って、2時間集計でデータを表示する際の、
別の方法を考えてみました。
先週の日曜日から土曜日のデータにおける、時間帯別集計（2時間丸め）として、
2時間集計を0-1時台、2-3時台... 22-23時台として、12個の集計値を
各曜日毎に色分けして、表示しています。
earliest=-7d@w0 latest=@w7
| bucket date_hour span=2
| chart sum(key1) as sum by date_hour date_wday
| sort date_hour
ポイントは、
・タイムスタンプを元にした、date_***というフィールドを使う所と、
・date_hour（時）を2時間集計にしている所
・date_hour（時）とdate_wday(曜日）を使って集計をする所
です。
＊曜日が英語なので、並びがアルファベットになってしまっている所が辛いですが…
bananamanさんの eval を使って、曜日をソートするのを追加してみました。
いいですね、これ。
index=tutorial
| eval day=strftime(_time, "%u.%A")
| bucket date_hour span=2
| chart count by date_hour day
... View more
07-21-2013
05:53 PM
I indexed a dataset with no timestamp (TZ=local) in a locally installed Splunk, and did the same thing. I guess timezone should match among timestamp in data, Splunk/OS and Browser I am running with. Still timechart behaves the same. Depending on the span, timechart snaps to 00:00 or some offsets. Specifically, with the latest and earliest is set to a day(-1d@d to @d), timechart starts from 0:00 only in case of span=1h,3h,7h,21h. (for a day with span more than a few hours does not seem to have much meaning, but timechart behaves diffetently depending on the combination of span and time range.
... View more
07-19-2013
10:48 PM
Oh! I see. I thought even after I provide serverclass.conf file with no content (only [global] stanza), I need to issue the command to actually enable the deployment server. What is the minimal configuration in serverclass.conf so splunk will be enabled as deployment server? * it is mostly to see if deployment clients are checked in before actually deploying any apps.
... View more
07-19-2013
10:02 PM
2 Karma
Hi,
Could anyone know how to start plotting from midnight when time range is something like earliest=-1d@d latest=@d?
I see some behaviors which I did not expect.
The following query always starts plotting 11PM, not 0AM even I set earliest and latest like this.
earliest=-1d@d latest=@d | timechart span=2h count
_time count
--------------------------- -----
2013-07-18 23:00:00.000 JST 11372
2013-07-19 01:00:00.000 JST 22430
2013-07-19 03:00:00.000 JST 22420
2013-07-19 05:00:00.000 JST 22488
2013-07-19 07:00:00.000 JST 22442
2013-07-19 09:00:00.000 JST 22301
2013-07-19 11:00:00.000 JST 22331
2013-07-19 13:00:00.000 JST 22726
2013-07-19 15:00:00.000 JST 22779
2013-07-19 17:00:00.000 JST 22732
2013-07-19 19:00:00.000 JST 22509
2013-07-19 21:00:00.000 JST 22501
2013-07-19 23:00:00.000 JST 11098
if I change span=3h, then the result starts frmo midnight, which I expect.
earliest=-1d@d latest=@d | timechart span=3h count
_time count
--------------------------- -----
2013-07-19 00:00:00.000 JST 33802
2013-07-19 03:00:00.000 JST 33645
2013-07-19 06:00:00.000 JST 33705
2013-07-19 09:00:00.000 JST 33399
2013-07-19 12:00:00.000 JST 33959
2013-07-19 15:00:00.000 JST 34209
2013-07-19 18:00:00.000 JST 33811
2013-07-19 21:00:00.000 JST 33599
Now, if I set span=4h, then the result starts from 9PM
earliest=-1d@d latest=@d | timechart span=4h count
_time count
--------------------------- -----
2013-07-18 21:00:00.000 JST 11372
2013-07-19 01:00:00.000 JST 44850
2013-07-19 05:00:00.000 JST 44930
2013-07-19 09:00:00.000 JST 44632
2013-07-19 13:00:00.000 JST 45505
2013-07-19 17:00:00.000 JST 45241
2013-07-19 21:00:00.000 JST 33599
Thanks,
... View more
07-19-2013
05:04 AM
Hi
To enable the deployment server, I need to issue the following command,
./splunk enable deploy-server
What does this command do?
Does this actually add some configuration in a file?
Can I do the same operation manually without issuing the CLI command?
Thank you in advance for your comments..
... View more
- Tags:
- deployment-server
06-30-2013
08:11 PM
Hi
I am using splunk CLI anonymize command to anonymize my log data.
One thing I would like to do with the command is to keep my IP address data NOT anonymized.
Can I do such thing using anonymize CLI commant?
Any comment would be appreciated.
Thank you in advance,
... View more
- Tags:
- anonymize
06-26-2013
05:52 PM
Summary : ddddragon wants to fire an alert when vmstat's loadavg exceeds a threshold (eval th=2) two or more times continuously.
... View more
06-26-2013
07:21 AM
残念ながら、単純な設定方法はないとおもいますが、以下の２つの方法では可能だとおもいます。
・Advanced XMLを使う
一旦、Simple XMLでレイアウト決める手前まで作成して、Advanced XMLに変換して手直しする。
http://splunk-base.splunk.com/answers/68236/
・CSSを別に設定する
スタイルシートの設定を追加して、レイアウトを行う。
http://splunk-base.splunk.com/answers/8223/how-to-arrange-inputs-on-a-form
... View more
06-18-2013
07:55 PM
2 Karma
以下の様な感じではいかがでしょうか。
index=_internal sourcetype="splunkd" group="per_sourcetype_thruput" series!=splunk* | eval gb=kb/1024/1024 | timechart limit=20 minspan=1d sum(gb) by series
... View more
Contact Me
| Online Status |
Offline
|
| Date Last Visited |
06-05-2020
02:02 AM
|
Karma given to
| User | Karma Count |
|---|---|
| 1 | |
| 4 | |
| 1 | |
| 1 | |
| 1 |
