昨日の２３時台 earliest=@d-1h latest=@d 先月の末日 earliest=@mon-1d latest=@mon こんなかんじではいかがでしょう。 ... View more

以下のパラメータでy軸を無理やり合わせてみましたが、どうですかね？ <option name="charting.axisLabelsY.majorUnit">100</option> <option name="charting.axisY.maximumNumber">1000</option> <option name="charting.axisY.minimumNumber">0</option> <option name="charting.axisLabelsY2.majorUnit">100</option> <option name="charting.axisY2.maximumNumber">1000</option> <option name="charting.axisY2.minimumNumber">0</option> <dashboard> <label>今日のChart</label> <row> <chart> <searchString> sourcetype=* | timechart span=1h count by host | join _time [|search sourcetype=access_* host=apache1* | timechart span=1h count | streamstats window=5 sum(count) as cpu | eval cpu=abs(cpu-1800)/20 | fields - count | rename cpu as cpu_apache1 ] | join _time [|search sourcetype=access_* host=apache2* | timechart span=1h count | streamstats window=5 sum(count) as cpu | eval cpu=abs(cpu-1800)/20 | fields - count | rename cpu as cpu_apache2 ] | join _time [|search sourcetype=access_* host=apache3* | timechart span=1h count | streamstats window=5 sum(count) as cpu | eval cpu=abs(cpu-1800)/20 | fields - count | rename cpu as cpu_apache3 ] | join _time [|search sourcetype=access_* host=* | timechart span=1h count | streamstats window=5 sum(count) as cpu | eval cpu=abs(cpu-1000)/20 | fields - count | rename cpu as cpu_mysql ] | table _time apache* mysql* cpu* </searchString> <title>こんなチャート</title> <option name="charting.transparentBrushPalette">solidFill</option> <option name="charting.transparentBrushPalette.colorPalette">@colorPalette</option> <option name="charting.transparentBrushPalette.alpha">0.7</option> <option name="charting.data1">view</option> <option name="charting.data1.table">@data</option> <option name="charting.data1.columns">[0,1,2,3,4]</option> <option name="charting.chart.data">@data1</option> <option name="charting.data2">view</option> <option name="charting.data2.table">@data</option> <option name="charting.data2.columns">[0,5,6,7,8]</option> <option name="charting.chart2.data">@data2</option> <option name="charting.axisY2">#axisY</option> <option name="charting.axisLabelsY2">#axisLabelsY</option> <option name="charting.axisLabelsY2.axis">@axisY2</option> <option name="charting.chart">area</option> <option name="charting.chart.columnBrushPalette">@transparentBrushPalette</option> <option name="charting.chart.stackMode">stacked</option> <option name="charting.chart.useAbsoluteSpacing">True</option> <option name="charting.chart.columnSpacing">20</option> <option name="charting.chart.columnAlignment">.5</option> <option name="charting.axisTitleY.text">event count (件)</option> <option name="charting.axisLabelsY.placement">left</option> <option name="charting.axisLabelsY.majorUnit">100</option> <option name="charting.axisY.maximumNumber">1000</option> <option name="charting.axisY.minimumNumber">0</option> <option name="charting.chart2">line</option> <option name="charting.chart2.nullValueMode">zero</option> <option name="charting.chart2.axisY">@axisY2</option> <option name="charting.axisTitleY2">axisTitle</option> <option name="charting.axisTitleY2.text">cpu (％)</option> <option name="charting.axisLabelsY2.placement">right</option> <option name="charting.axisLabelsY2.majorUnit">100</option> <option name="charting.axisY2.maximumNumber">1000</option> <option name="charting.axisY2.minimumNumber">0</option> <option name="charting.layout.charts">[@chart,@chart2]</option> <option name="charting.layout.axisLabels">[@axisLabelsX,@axisLabelsY,@axisLabelsY2]</option> <option name="charting.layout.axisTitles">[@axisTitleX,@axisTitleY,@axisTitleY2]</option> <option name="charting.legend.placement">bottom</option> </chart> </row> </dashboard> ... View more

基本的に、cwlさんと同じ内容です。 以下、ご参考にいただければとおもいます。 http://docs.splunk.com/Documentation/Splunk/latest/Search/UsingtheSearchJobInspector 各項目によって count値が、件数の場合もありますし、データ量（Bytes等）や時間（Secounds)の場合もありますので、すこし注意が必要です。 ... View more

Simple XMLのみではできないと思いますが、JavaScriptをつかって上げれば大丈夫かと思います。 http://apps.splunk.com/app/1613/ 上記のApp中に、UIの制御等のサンプルがありますので、ご参考にしてみてはいかがでしょうか。 ... View more

Simple XMLのみではできませんが、以下のパーツのサンプルにUI制御がありますので、参考にしてみてください。 http://apps.splunk.com/app/1613/ インストールの際、Splunk6 であれば問題有りませんが、splunk5だとWeb Frameworkを別途Devサイトからダウンロードする必要があますので、Documentationを参考の上、挑戦してみてはいかがでしょうか。 ＊基本的に、CSSやJavaScriptをいれていくことになります。 ... View more

サーチを実行するUIから、deleteコマンドを使う方法があります。 ...消したいイベントを抽出するためのサーチ... | delete Deleteコマンドで削除したイベントは、ディスク内には情報は残りますが、サーチの対象外になります。 ＊消したという事実を残すための仕様のようです。 消し方のステップとしては、 delete コマンドを実行できるようにユーザにdelete_by_keyword権限を付与する。 （もしくはcan_deleteロールを付与） 消す対象となるイベントを抽出するサーチを作成する。 2のサーチの後ろに | delete を付け足して、イベントを削除する。 1でユーザに付与した権限を取り消す。（念のため） 参考 http://docs.splunk.com/Documentation/Splunk/latest/Indexer/RemovedatafromSplunk ... View more

アーカイブされたBucketを再度サーチするには、thaweddbに置く必要があります。 言い換えれば、thaweddbをしているディレクトリの中をSplunkが見に行くので、 設定ファイルないのthaweddbのパスを変更してしまうということも可能です。 http://docs.splunk.com/Documentation/Splunk/latest/Indexer/Restorearchiveddata ... View more

Windows7をIndexer(IDX), CentOSをUniversal Forwarder(UF)として、設定する際のざっくりとしてた手順は以下の流れです。 Win7にSplunkをインストールし、Unix Appもインストール、Splunkの再起動 Win7上で受信ポートをOpen(9997) CentOSにUFをイントールし, outputs.conf(etc/system/local以下など)を作成編集して、データ転送の設定をして、再起動して有効化 [tcpout:group1] server=172.16.220.128:9997 TA for UnixをCentosにインストール(tar -xvf でetc/apps以下に展開)し、Splunk_TA_nix/local以下で、apps.conf（taの有効化）と、inputs.conf(データ取り込み設定の有効化）を設定し、ufを再起動 # pwd /opt/splunkforwarder/etc/apps/Splunk_TA_nix/local # cat app.conf [install] is_configured = true # cat inputs.conf | head -10 [script://./bin/vmstat.sh] disabled = 0 [script://./bin/iostat.sh] disabled = 0 [script://./bin/ps.sh] disabled = 0 ...つづく 以上で、設定は完了なのですが、確認するポイントは、手順3でしょうか。 CentOSからWindowsにデータを転送する設定がされているか確認してみてください。 Win7上のSplunkから、以下をサーチしてみて、Win7以外からのHostが見えているか確認してみるのも簡単な確認方法です。 index=_internal | stats count by host host count --- --------------- ----- 1 WIN-DEEFAFD6BQ8 15305 2 centos 708 確認してうまくいかないようでしたら、追加commentしてみてくださいませ。 ... View more

Have you tried this tutorial? Please try it if you have not. http://dev.splunk.com/view/SP-CAAAEMU ... View more

This might help .. http://answers.splunk.com/answers/50180/veritas-cluster-server ... View more

もしうまく行かない方がいれば、こちらでお知らせくださいませ。 ... View more