Hi @alacercogitatus and everyone, Can I ask a question for 「Input Add-On for G Suite」App ? When I use 「Input Add-On for G Suite」 for collecting Google Drive log to Splunk, the error happened and input stopped.  ・Which version that I used, error always have. ・The error always happen after 24 hours of Credential created.  　Once I created new credential, the input can input google drive data normally, when 24 hours past the error will happen and input will stop.    ・token refresh error in Splunk 7.3 + Input Add-On for G Suite 1.3.1 {"log_level": "ERROR", "timestamp": "Sun, 20 Jun 2021 03:09:38 +0000", "errors": [{"filename": "GoogleAppsForSplunkModularInput.py", "msg": "invalid_grant: reauth related error (invalid_rapt)", "input_name": "ga://Google_Drive_Input_1", "line": 416, "exception_arguments": "invalid_grant: reauth related error (invalid_rapt)", "exception_type": "HttpAccessTokenRefreshError"}], "modular_input_consumption_time": "Sun, 20 Jun 2021 03:09:38 +0000"}   ・token refresh error in Splunk 8.1 + Input Add-On for G Suite 1.4.2 {"timestamp": "Mon, 21 Jun 2021 04:39:34 +0000", "log_level": "ERROR", "errors": [{"msg": "('invalid_grant: reauth related error (invalid_rapt)', '{\\n \"error\": \"invalid_grant\",\\n \"error_description\": \"reauth related error (invalid_rapt)\",\\n \"error_subtype\": \"invalid_rapt\"\\n}')", "exception_type": "<class 'google.auth.exceptions.RefreshError'>", "exception_arguments": "('invalid_grant: reauth related error (invalid_rapt)', '{\\n \"error\": \"invalid_grant\",\\n \"error_description\": \"reauth related error (invalid_rapt)\",\\n \"error_subtype\": \"invalid_rapt\"\\n}')", "filename": "GoogleAppsForSplunkModularInput.py", "line": 490, "input_name": "ga://Google_Drive_Input_1"}], "modular_input_consumption_time": "Mon, 21 Jun 2021 04:39:34 +0000"}   What's happened and how to solve it ?  Thanks a lot. ... View more

I using collect command with post search in dashboard. I want to control collect data to summary index or not in dashboard, I created this dashboard. Panel 1:  search id="main" { main search and table all fields that need. } Panel 2: input field token=collect_index single selection： 　　　　　　　・no summary :  　　　　　　　・to summary : | collect index=summary_index_name search base="main" { | table fields that need    |  where user=$drilldown_user$ （from Panel 1 with drilldown token）     | eval .... some process   $collect_index$ } But, the summary_index_name will have duplicates collected events. And I tried create 2 dedicate search panel in the dashboard, the collected events did not duplicates. Any suggestion ?   Thanks. --------------------------------------------------------------------------------------------------------------------------- こんにちは ダッシュボードの中に、サーチの結果をサマリーインデックスに書き込むかをコントロールしたいので、このダッシュボードを作りました。このダッシュボードの中に２つサーチパネルがあります。 パネル１： search id="main" { メインサーチで必要のフィルドを出します。} パネル２： input field token=collect_index シングル選択し： 　　　　　　　・no summary :  　　　　　　　・to summray : | collect index=サマリーインデックス名 search base="main" { | table 必要なフィルド    |  where user=$drilldown_user$ （パネル１からのトクンバリュー）     | eval などの処理    $collect_index$ } ただ、上記の post search で経由して、collect したデータは重複になってます。 index=_audit で確認すると、確かに1秒で同じのサーチ（run_collect）が複数回で実行していた。 そして、 別々のパネルで分けて独立のサーチを作ったことがありますが、独立のサーチは上記の問題発生しません。 index=_audit でも確認した、run_collect ただ1回しかないです。 アドバイスをいただければ助かります。 お手数をおかけしますが、どうぞよろしくお願いいたします。           ... View more

ある CSV ログファイルのフィルド名は日本語文字と英語文字で混ぜています。中身も同じです。 文字コード：SHIFT-JIS Splunk のデフォルト sourcetype : csv を使ってから中身はちゃんと認識されていますが、フィルド名は問題があります。   その問題は、 raw data のフィールド名：Windows Update 実行時間（WSUS） Splunk が認識したフィルド名：Windows Update___________WSUS つまり、日本語の漢字や全角文字が認識できないの状態になっています。   しかし、その事情は Splunk Enterprise 8.0.x、8.1.1 しか発生していません。 7.3.x の環境で同じ CSV ファイルは全然問題ないです。（フィルド名、中身ちゃんと認識されています。）   バグを踏みましたか。 回答していただければ助かります。 お手数をおかけしますが、どうぞよろしくお願いいたします。 ... View more

My environment is one Search Head -> one Heavy Forwerder -> 3 Indexers with Indexer Cluster. Search Head become slow on Web UI after can not connect the Heavy Forwarder or Indexers. I tried 2 scenarios, (1) Search Head -> Heavy Forwarder -> Indexers (via SSL) When I stop Heavy Forwarder for maintenance, the Search Head Web UI become very slow even hard to operate on Web UI and TailReader-0 become red until the Heavy Forwarder start. (2) Search Head (directly to) -> Indexers (via SSL) The same result with scenarios (1). Why Splunk Search Head crashed after can not connect Heavy Forwarder or Indexer ? When queue full just can not input data anymore, right ? What relate with splunkweb ? 英語だけではなく、 よろしければ、日本語で返事していただければ幸いです。 どうぞよろしくお願いいたします。 ... View more