Splunk. Data Input's (Dynamic Options)

Приветствую, уважаемый читатель!

Сегодня я продолжу раскрывать тему создания дашбордов в Splunk, а если конкретнее, мы коснёмся раздела Dynamic Options, который присутствует у большинства селекторов (Data Inputs). Поняв принцип его работы, вы сможете очень сильно прокачать свои дашборды.

Как я уже говорил ранее, у большинства селекторов, предназначенных для выбора конкретных значений пользователем, присутствует раздел Dynamic Options. С помощью данного раздела значения для селектора подставляются в результате выполнения запроса, т.е. запрос возвращает нам набор полей, значения которых мы сможем использовать. Экспериментировать будем с элементом DropDown и логами Apache.

1) Напишем запрос, который вернёт нам список из 10 IP-адресов, с которых было больше всего запросов:    

sourcetype=Apache_access

| stats count by clientip

| head 10 | sort -count

| fields clientip

Результат запроса ниже:

2) Добавим на дашборд элемент DropDown со следующими настройками:

В поле Search String вбивается непосредственно запрос, который должен вернуть результаты.

В поле «Field For Label» необходимо указать поле из запроса, которое будет показано пользователю при нажатии на элемент.

В поле «Field For Value» необходимо указать поле из запроса, значение которого будет помещаться в токен.

Если все прошло успешно, при нажатии на компонент увидите, примерно следующее:

КРАЙНЕ Важные замечания:

1) Всегда пишите запросы таким образом, чтобы значения полей запроса, которые вы помещаете в «Field For Label», были уникальны и не содержали дубликатов. Иначе будут ошибки.

2) Чтобы использовать значение в полях «Field For Label» и «Field For Value» их необходимо указать в запросе с помощью команд table или fields.

Чем удобно использование Dynamic Options, думаю, очевидно. Если, по каким-то причинам необходимо помимо динамического вычисления значений иметь ещё и статические, то просто добавляем в разделе Static Options нужные значения.

На этом пока всё J