Splunk - Стойности за търсене + статичен низ за търсене = изход с брой

index=someindex host=host*p* "STATIC_SEARCH_STRING" [ | inputlookup users.csv | fields UserList | rename UserList as query]

Това, което се случва тук, е, че има подтърсене, което прави inputlookup на файла users.csv. След това използваме fields, за да гарантираме, че има само едно поле (UserList) в данните. След това преименуваме това поле на query. Това е специално поле в подтърсенията; когато подтърсенето върне полето query, то се разширява в израза (field_value_1) OR (field_value_2) OR ....

След това този израз се добавя към оригиналния низ за търсене, така че окончателното търсене, което Splunk изпълнява, е index=someindex host=host*p* "STATIC_SEARCH_STRING" ("alice") OR ("bob") OR ("charlie")

Този подход е описан на адрес https://docs.splunk.com/Documentation/Splunk/8.0.3/Search/Changetheformatofsubsearchresults

Можете също да разгледате командата за формат на Splunk, https://docs.splunk.com/Documentation/Splunk/latest/SearchReference/Format, ако трябва да промените формата на израза за подтърсене, като например добавите * около всеки върнат израз.

Мисля, че търсите отвътре навън

Това, което мисля, че може да искате е следното:

index=ndx sourcetype=srctp host=host*p* User=*
| search 
    [| inputlookup users.csv ]
| stats count by User

Ако разбирам правилно въпроса ви, искате да използвате стойностите в търсенето си като филтър на данните (т.е. само където User е в този списък)

Ако случаят е такъв, горното ще направи точно това

Ако трябва да накарате имената на полетата да съвпадат, защото справочната таблица има различно име, променете подтърсенето на следното:

    [| inputlookup users.csv
     | rename lookup_field_name as User ]