Turn on suggestions
Auto-suggest helps you quickly narrow down your search results by suggesting possible matches as you type.
×
Are you a member of the Splunk Community?
Sign in or Register with your Splunk account to get your questions answered, access valuable resources and connect with experts!
Turn on suggestions
Auto-suggest helps you quickly narrow down your search results by suggesting possible matches as you type.
- Find Answers
- :
- About melonman
melonman
Motivator
Member since:
06-07-2010
06-05-2020
Community Statistics
| Posts | 438 |
| Solutions | 92 |
| Karma Given | 100 |
| Karma Received | 189 |
| Member Since | 06-07-2010 |
Activity Feed
- Got Karma for Re: インデックスのデータを時間経過で自動削除したい. 05-19-2024 08:02 PM
- Got Karma for How do I route data to specific index based on a field?. 03-31-2022 07:29 AM
- Got Karma for Lookup use without lookup definition. 01-28-2022 09:59 AM
- Got Karma for Re: Lookup use without lookup definition. 01-28-2022 09:59 AM
- Got Karma for How to track memory/cpu usage per search execution (on Search Head/Indexer)?. 01-14-2022 04:21 PM
- Got Karma for Re: ソースタイプ別データ取り込み量確認方法. 06-18-2021 11:45 PM
- Got Karma for Re: Lookup use without lookup definition. 06-07-2021 04:32 AM
- Got Karma for Lookup use without lookup definition. 06-07-2021 04:32 AM
- Got Karma for Re: dbxlookup with where function(). 11-30-2020 06:47 AM
- Got Karma for dbxlookup with where function(). 11-30-2020 06:46 AM
- Got Karma for Re: Simple XML - Drilldown to new window. 08-13-2020 03:14 AM
- Karma Re: 当日分各データと過去データの比較 for to4kawa. 06-05-2020 12:51 AM
- Got Karma for Re: 当日分各データと過去データの比較. 06-05-2020 12:51 AM
- Karma Re: Splunk Webの動作について for syokota_splunk. 06-05-2020 12:50 AM
- Karma Re: pstack以外の代替手段について for cweiliou_splunk. 06-05-2020 12:50 AM
- Karma Re: Partner Portal に "My Operational Contacts" が見つかりません for rkondo_splunk. 06-05-2020 12:50 AM
- Karma Re: ダッシュボードをpdf形式でエクスポートしたところ、いくつかのグラフが正常に表示されませんでした。 for hnoboru_splunk. 06-05-2020 12:50 AM
- Karma Re: Splunk v7.3.0のmonitoring console appのHTTP Event Collector: InstanceのUI表示がおかしい for tkomatsubara_sp. 06-05-2020 12:50 AM
- Karma Re: jemallocの採集方法について for cweiliou_splunk. 06-05-2020 12:50 AM
- Karma Re: Splunk v7.3.0のmonitoring console appのHTTP Event Collector: InstanceのUI表示がおかしい for vinod94. 06-05-2020 12:50 AM
Topics I've Started
| Subject | Karma | Author | Latest Post |
|---|---|---|---|
| 0 | |||
| 1 | |||
| 0 | |||
| 0 | |||
| 0 | |||
| 0 | |||
| 0 | |||
| 0 | |||
| 2 | |||
| 1 |
02-16-2017
04:34 PM
Thank you! Now I can start adding some more stuff for text box initialization ...
<form script="sample.js">
<label>sample</label>
<fieldset submitButton="false">
<input type="text" token="token1" id="id1">
<label>Text Input</label>
</input>
</fieldset>
</form>
$ cat sample.js
require(["splunkjs/mvc", "splunkjs/mvc/simplexml/ready!"], function(mvc) {
var date1 = new Date();
var year = date1.getFullYear();
var val1 = mvc.Components.get('id1');
val1.settings.set("default", year);
});
... View more
02-15-2017
09:54 PM
Thank you for your input, and I understand what you showed. But could this search result be used for setting initial value for input as a text?
... View more
02-15-2017
08:18 PM
Hi,
I am looking for a sample to set a initial value dynamically using eval or JavaScript.
e.g. set "Monday" or "Tuesday" as a initial value when a form is opened.
I have this very simple form like this:
<form>
<label>sample</label>
<fieldset submitButton="false">
<input type="text" token="a">
<label>Today</label>
<initialValue></initialValue>
</input>
</fieldset>
</form>
and I want to set a value for depending on a day the form is accessed.
I am looking for a way to do this by eval tag or JavaScript extention, but I have not found any sample for this kind of input value initialization.
Any simple sample would be appreciated!
... View more
02-15-2017
07:13 PM
上のリンクのdrilldownを使うと、一つ目のダッシュボードのグラフなんかをクリックすると、クリックした情報を引き継いで2つ目のダッシュボードに遷移させることはできます。
また、以下のようにhtmlを使って特定の文字列をクリックした際に該当するダッシュボードへ遷移させることもできます。(こちらのドキュメントに記載あります。)
<row>
<panel>
<html>
<p>This is an <i><b>HTML panel</b></i> providing links to system reports.</p>
<ul>
<li>
<p><a href="@go?s=Errors in the last hour">Errors in the last hour</a></p>
</li>
<li>
<p><a href="@go?s=Indexing workload">Indexing workload</a></p>
</li>
<li>
<p><a href="@go?s=License Usage Data Cube">License Usage</a></p>
</li>
</ul>
</html>
</panel>
. . .
</row>
... View more
02-15-2017
06:50 PM
1 Karma
すこし無理やり感がありますが、以下にlhaを解凍するのをいれたら、もしかしたら実現できそうな気がしますが、いかがでしょか。
unarchive_cmd = <string>
* Only called if invalid_cause is set to "archive".
* This field is only valid on [source::<source>] stanzas.
* <string> specifies the shell command to run to extract an archived source.
* Must be a shell command that takes input on stdin and produces output on
stdout.
* Use _auto for Splunk's automatic handling of archive files (tar, tar.gz,
tgz, tbz, tbz2, zip)
* This setting applies at input time, when data is first read by Splunk.
The setting is used on a Splunk system that has configured inputs
acquiring the data.
* Defaults to empty.
... View more
02-09-2017
05:13 AM
ご参考までに。
Post Process Searchについて
http://docs.splunk.com/Documentation/Splunk/latest/Viz/Savedsearches#Post-process_searches
... View more
01-23-2017
06:36 PM
・現在使用している元データ以外にlookupを作らないと仰っているような形で表示できないということでしょうか？
元データだけでできるとおもいますよ。
私のテストデータでは、データをインデックスするのが手間だったので、
元データとしてcsvをつかっただけです。
ですので、| inputlookup test.csv あたりを index=問合せ対応_index として読み替えていただければと思います。
また、_timeでjoinをしている箇所がありますが、この部分でのポイントは、_timeをjoinの前の部分ではstartedの日時、joinの後の部分ではcompletedの日時にしている点です。
このjoinでおこなっているのは、以下の一つのイベントを：
受付ID=1, 受付時刻=2017/01/23 9:00, 完了時刻=2017/01/23 10:00
以下のような2つの情報に変換しています。
_time=2017/01/23 9:00, 受付ID=1, data=受付
_time=2017/01/23 10:00, 受付ID=1, data=完了
上記のようなデータに変換してから各種集計を行っています。
・| foreach * [eval <>=if(match('<>', "started") AND mvcount('<>')=1,1,0)]
各フィールドに対して処理や判断を書ける場合にforeachをつかいます。
今回は、各フィールドとなっている部分がtimechart の結果として出てきた各idで、
何時台に処理が開始したのか終了したのかを判定して、1か0に置き換えています。
具体的には、各idのデータを参照して、startedという文字列のみであれば1,
それ以外(データ無しもしくはcompletedもしくはstarted,completedの2つが入っている時間帯)は0とする、
としてます。
<>には、実際には各フィールド名がはいってきますので、今回の場合は、
1,2,3,4,5,6,7といったように順番にidごとに判定代入処理をおこなっていくことになります。
詳細はドキュメントのforeachコマンドの概要よんでいただいて、上記のサンプルデータとサンプルサーチを動かして見ていただければと思います。
・| untable _time id isWorking isWorkingとはどこから来たのか
table形式になっているものを、分解する際にuntableというコマンドが使えます。
前段で各idがどの時間帯に対応されているかが1か0で表示されているところまででてきているかとおもいます。
_time 1 2 3 4
9:00 0 0 0 0
10:00 1 0 1 0
11:00 1 0 0 0
12:00 1 0 0 1
これを以下のように変換するのにuntableをつかってます。
isWorkingは上のテーブルのcellに当たる部分に名前をつけているイメージです。
_time,id,isWorking
9:00,1,0
9:00,2,0
9:00,3,0
9:00,4,0
10:00,1,1
10:00,2,0
10:00,3,1
10:00,4,0
11:00,1,1
11:00,2,0
11:00,3,0
11:00,4,0
12:00,1,1
12:00,2,0
12:00,3,0
12:00,4,1
test.csvを使ったサンプルでは、一旦10分毎に各idが対応されているかを判定してますが、
これを更に1時間集計（何時台）に再集計し直すさいにuntableを事前にやることでtimechart ... by id とできるようにしています。
もっと短くかけるとはおもいますが…(汗
... View more
01-23-2017
04:30 PM
Thank you! * Yes, that is Impala I wanted to know about.
... View more
01-23-2017
02:44 AM
データ量にもよりますが、例えば以下のようなアプローチではどうでしょか。
1.何曜日の何時台に受付したか、何曜日の何時台に完了したかを分離して別々の情報とし、
2.上記の2つのデータを時間を軸に結合し、
3.どの問い合わせが何曜日の何時台に対応していたかを見つけ、
4.その時刻が営業時間かどうか判定して、
5.その後煮るなり焼くなりする
ちらっと勝手にデータ作ってやってみました。
業務id,受付日時,対応完了日時
id,started,completed
1,2017/1/22 18:00,2017/1/23 10:00
2,2017/1/22 15:00,2017/1/28 01:00
3,2017/1/23 09:00,2017/1/23 09:30
4,2017/1/23 15:00,2017/1/23 18:00
5,2017/1/23 15:00,2017/1/23 18:00
6,2017/1/27 15:00,2017/1/27 18:00
7,2017/1/27 17:00,2017/1/30 10:00
土日除く9am-6pmが営業だと、各id（問い合わせ）については：
id1が23日の9時から10時までの1時間だけ対応
id2が数日間に渡って対応はしているが、22日9時よりまえと27日の18時以降、その他の日の9時〜6時に入らない時間帯は除外
id3は30分で対応終了
とか、そんな感じでしょうか。（ここで理解が間違ってたら以下はおかしくなりますが参考までに書き続けます）
上記のcsvをlookupsディレクトリにtest.csvとして保存し、以下を実行すると、それっぽい表がでてきます。
| inputlookup test.csv
| eval _time=strptime('started',"%Y/%m/%d %H:%M"), data="started"
| fields _time id data
| append [
| inputlookup test.csv
| eval _time=strptime('completed',"%Y/%m/%d %H:%M"), data="completed"
| fields _time id data ]
| sort _time
| timechart span=10m list(data) by id
| filldown
| foreach * [eval <<FIELD>>=if(match('<<FIELD>>', "started") AND mvcount('<<FIELD>>')=1,1,0)]
| untable _time id isWorking
| timechart span=1h max(isWorking) as isWorking by id
| eval H=strftime(_time,"%H"), W=strftime(_time,"%A")
| search NOT (W="Saturday" OR W="Sunday" OR H<9 OR H>=18)
おそらくこの時点で、どの問い合せ(id)が何時台に対応されているかが1と0で出てくると思います。
あとはidごとにsumを取れば（単純にaddtotalcolsをつけてもOK）、各問い合わせに業務時間内に何時間つかったか、がでてくるとおもいます。
ヒストグラムについては上記サーチの後に以下のようにすればでてくるかとおもいます。
| addcoltotals labelfield=H label="Total"
| where H="Total"
| fields - _time W H
| transpose 0
| rename "row 1" as H
| bin H bins=10
| stats count by H
| makecontinuous H
| fillnull count
ずれてるかもしれませんが、お役に立てれば幸いです。
サーチが無駄にながくなってしまってすみません、、
... View more
01-12-2017
07:09 PM
Hi,
I am looking for a way to connect Splunk to Impara DB to pull data periodically?
Some of structured data are stored in HDFS and already mapped to Impara for analytics, and unstructured data is stored in Splunk.
I want to run SQL from Splunk UI.
Would it be possible?
... View more
12-20-2016
06:17 AM
1 Karma
This is what I see in DMC in Splunk
Splunk Enterprise Server 6.5.1
Linux, 14.28 GB Physical Memory, 4 CPU Cores
... View more
12-19-2016
09:07 PM
1 Karma
FYI, this is my instance C4.2xlarge for Splunk 6.5.1
$ ./splunk search 'index=_internal sourcetype=splunkd detected CPU'
12-19-2016 23:58:08.665 -0500 INFO loader - Detected 8 (virtual) CPUs, 4 CPU cores, and 14621MB RAM
... View more
07-14-2016
03:23 PM
2 Karma
Well, if you look for automated cross validation or single command to perform cross validation, maybe the answer is probably No at this moment.
Here is what I do for now.
For example, K-Fold cross validation where K=5, you could split your data into partitions (like into 5) using sample command.
... search to get your dataset | sample partitions=5
This will add partition_number to dataset so you can specify the number to get a part of data.
Then, and use partition 1(1/5 of data) to create model (use as train) and rest of data to use for test.
... search to get your dataset | sample partitions=5 | where partition_number=0 | fit ... into your_model | ..
and test with the rest
... search to get your dataset | sample partitions=5 | where partition_number!=0 | apply your_model | ..
then calculate errors and consolidate the result from each validation.
maybe you can automate this by other splunk job scheduling technologies... (scheduled search, summary index + some dashboard)
... View more
07-04-2016
01:36 AM
以下も参考情報としてリンク致します。
https://answers.splunk.com/answers/395886/for-splunk-enterprise-splunk-light-and-hunk-pre-63.html
... View more
06-20-2016
01:43 AM
props.conf内にサーチ時に適応されるフィールド抽出の設定（正規表現）を記載する場合には、EXTRACTを指定しますが、文法は以下のようになっています。詳細はこちらのprops.confのドキュメントを参考にしてみてください。
また、指定する正規表現に関しては、私個人的に以下のサイトをよく利用します。
https://regex101.com/
その他、ざっくりとWikipedia にも質問に書かれている正規表現の意味がかかれているとおもいますので、リンクさせていただきます。
https://ja.wikipedia.org/wiki/%E6%AD%A3%E8%A6%8F%E8%A1%A8%E7%8F%BE
EXTRACT-<class> = [<regex>|<regex> in <src_field>]
* Used to create extracted fields (search-time field extractions) that do
not reference transforms.conf stanzas.
* Performs a regex-based field extraction from the value of the source
field.
* <class> is a unique literal string that identifies the namespace of the
field you're extracting.
**Note:** <class> values do not have to follow field name syntax
restrictions. You can use characters other than a-z, A-Z, and 0-9, and
spaces are allowed. <class> values are not subject to key cleaning.
* The <regex> is required to have named capturing groups. When the <regex>
matches, the named capturing groups and their values are added to the
event.
* dotall (?s) and multiline (?m) modifiers are added in front of the regex.
So internally, the regex becomes (?ms)<regex>.
* Use '<regex> in <src_field>' to match the regex against the values of a
specific field. Otherwise it just matches against _raw (all raw event
data).
* NOTE: <src_field> can only contain alphanumeric characters and underscore
(a-z, A-Z, 0-9, and _).
* If your regex needs to end with 'in <string>' where <string> is *not* a
field name, change the regex to end with '[i]n <string>' to ensure that
Splunk doesn't try to match <string> to a field name.
... View more
06-20-2016
01:26 AM
まず、チーム名と対応するemailアドレスを準備し、Splunkから参照できるように設定します。（参考：ルックアップ設定）
例）email_address 用のCSV
team,email
チームA,A@example.com
チームB,B@example.com
チームC,C@example.com
チームD,D@example.com
3日以上立っているチームをwhereでフィルターして、
lookupの機能を利用して各チームに対するemailアドレスを結果に付加します。
...結果のサーチ | where data_age>=3 | lookup email_address team OUTPUT email
例えば、以下のような形にします。
team data_age email
チームB 5days B@example.com
チームC 3days C@example.com
上のような結果をアラート対象にして、それぞれをemailフィールドに指定されているアドレスに結果を送信するには、アラートの設定で"アラートモード"を結果あたり一回（参考：Per-Result Alert)に指定して、メールの宛先に $result.email$ という形で、emailフィールドを指定していただければいけるとおもいます。（参考：alert設定時のトークンについて）
... View more
06-10-2016
01:21 AM
メモです。
| tstats prestats=T count where index=main by _time span=1d
| where _time=relative_time(now(),"-1mon@mon-1d") OR
_time=relative_time(now(),"-1mon@mon-1d") OR
_time=relative_time(now(),"-2mon@mon-1d") OR
_time=relative_time(now(),"-3mon@mon-1d") OR
_time=relative_time(now(),"-4mon@mon-1d") OR
_time=relative_time(now(),"-5mon@mon-1d")
| stats count by _time
... View more
06-10-2016
12:31 AM
That is right, I can only use print from browser... ummm
... View more
06-10-2016
12:14 AM
2 Karma
Hi,
I am looking for a way to export a PDF of a dashboard with the same layout as shown in the dashboard.
When I export a PDF from the dashboard, panels and charts are re-arranged (vertically aligned).
Does anyone know how to export a PDF as shown in the dashboard?
Any comments would be helpful,
Thank you!
... View more
06-08-2016
10:25 PM
例えば、今月（２０１６年６月９日１４時現在）からみた、直近先月の最終日のみのデータを選択するばあいには、以下のように指定します。例として、_internal(Splunk自身のログを溜め込んでいるIndexのデータを対象に実施します。
index=_internal earliest=@mon-1d latest=@mon
上記のearliestの@mon-1dが、今月の頭から１日引いた（つまり先月の最終日）を指定しており、latestでは今月の頭が指定されています。具体的には、以下のような時間範囲になります。
# ./splunk/bin/splunk search 'index=_internal earliest=@mon-1d latest=@mon | head 1 |addinfo | table info_min_time info_max_time | convert ctime(*_time)'
INFO: Your timerange was substituted based on your search string
info_min_time info_max_time
----------------------- -----------------------
05/31/2016 00:00:00.000 06/01/2016 00:00:00.000
earliestとlatestで、５月３１日０時以降〜６月１日０時未満の時間範囲が指定されます。
ですので、現在の月からみて、先月の最終日のみのデータを単純にcountするには、以下のようにしていただければ行けるとおもいます。
index=_internal earliest=@mon-1d latest=@mon | stats count
いかがでしょうか。
（追記）
index=main (earliest=@mon-1d latest=@mon) OR
(earliest=-1mon@mon-1d latest=-1mon@mon) OR
(earliest=-2mon@mon-1d latest=-2mon@mon) OR
(earliest=-3mon@mon-1d latest=-3mon@mon) OR
(earliest=-4mon@mon-1d latest=-4mon@mon) OR
(earliest=-5mon@mon-1d latest=-5mon@mon) OR
(earliest=-6mon@mon-1d latest=-6mon@mon)
| bin _time span=1d
| stats count by _time
より汎用的に行うのであれば、日付の計算を入れてできなくは無いと思いますが、
単純でちょっと強引ですが、上ではどうでしょうか。
結果は以下のようになります。
_time count
--------------------------- -----
2016-01-31 00:00:00.000 JST 12711
2016-03-31 00:00:00.000 JST 28067
2016-04-30 00:00:00.000 JST 31543
... View more
06-07-2016
02:23 PM
Splunk Enterprise 6.4系のドキュメントはこちらです。
http://docs.splunk.com/Documentation/Splunk/6.4.0/Translated/Translateddocumentation
... View more
05-31-2016
01:17 AM
Enterprise Security 4.1 系のドキュメントはこちらです。
http://docs.splunk.com/Documentation/ES/4.1.0/Translated/Japanesemanuals
... View more
05-31-2016
01:17 AM
6.0.x系のドキュメントはこちらです。
http://docs.splunk.com/Documentation/Splunk/6.0.2/Translated/Japanesemanuals
... View more
Contact Me
| Online Status |
Offline
|
| Date Last Visited |
06-05-2020
02:02 AM
|
Karma given to
| User | Karma Count |
|---|---|
| 1 | |
| 4 | |
| 1 | |
| 1 | |
| 1 |
