Добавление настраиваемых полей в запрос splunk

В моем java-приложении я добавил некоторые данные в журналы, которые затем отображаются в splunk как:

{
    ....
    "duration":"200",
    "methodName":"testMethod",
    "className":"com.test.TestClass",
    ....
}

В настоящее время, если мне нужно искать эти поля, мне нужно добавить что-то вроде следующего для фильтрации запроса:

log=\*"methodName":"testMethod"*

Есть ли способ добавить эти настраиваемые поля для фильтрации запроса, чтобы я мог иметь в своем запросе, например:

methodName="testMethod"

И затем мне также нужно использовать эти данные для создания диаграмм и визуализаций.


person Mandroid    schedule 22.07.2020    source источник


Ответы (1)


Если данные в формате JSON, вы можете установить kvmode = json в props.conf. В противном случае вы можете построить извлечение поля для интересующих вас строк.

Предлагаю вам взглянуть на https://docs.splunk.com/Documentation/Splunk/8.0.5/Knowledge/ExtractfieldsinteractivelywithIFX, чтобы упростить извлечение полей.

person Simon Duff    schedule 22.07.2020