- Splunk 教程
- Splunk - 主页
- Splunk - 概述
- Splunk - 环境
- Splunk - 接口
- Splunk - 数据摄取
- Splunk - 源类型
- Splunk - 基本搜索
- Splunk - 现场搜索
- Splunk - 时间范围搜索
- Splunk - 共享和导出
- Splunk - 搜索语言
- Splunk - 搜索优化
- Splunk - 转换命令
- Splunk - 报告
- Splunk - 仪表板
- Splunk - 数据透视表和数据集
- Splunk - 查找
- Splunk - 时间表和警报
- Splunk - 知识管理
- Splunk - 子搜索
- Splunk - 搜索宏
- Splunk - 事件类型
- Splunk - 基本图表
- Splunk - 叠加图表
- Splunk - 迷你图
- Splunk - 管理索引
- Splunk - 计算字段
- Splunk - 标签
- Splunk - 应用程序
- Splunk - 删除数据
- Splunk - 自定义图表
- Splunk - 监控文件
- Splunk - 排序命令
- Splunk - 顶级命令
- Splunk - 统计命令
- Splunk 有用资源
- Splunk - 快速指南
- Splunk - 有用的资源
- Splunk - 讨论
Splunk - 查找
在搜索查询的结果中，我们有时会得到可能无法清楚传达字段含义的值。例如，我们可能会得到一个以数字结果形式列出产品 id 值的字段。这些数字无法让我们了解它是什么类型的产品。但是，如果我们列出产品名称和产品 ID，就会得到一份很好的报告，让我们了解搜索结果的含义。
这种使用两个数据集中的相同值将一个字段的值链接到另一个数据集中同名的字段的过程称为查找过程。优点是，我们从两个不同的数据集中检索相关值。
创建和使用查找文件的步骤
为了在数据集中成功创建查找字段，我们需要遵循以下步骤 -
创建查找文件
我们考虑主机为web_application的数据集，并查看productid字段。该字段只是一个数字，但我们希望产品名称能够反映在我们的查询结果集中。我们创建一个包含以下详细信息的查找文件。在这里，我们将第一个字段的名称保留为productid，它与我们要从数据集中使用的字段相同。
productId,productdescription WC-SH-G04,Tablets DB-SG-G01,PCs DC-SG-G02,MobilePhones SC-MG-G10,Wearables WSC-MG-G10,Usb Light GT-SC-G01,Battery SF-BVS-G01,Hard Drive
添加查找文件
接下来，我们使用“设置”屏幕将查找文件添加到 Splunk 环境，如下所示 -
选择查找后，我们将看到一个用于创建和配置查找的屏幕。我们选择查找表文件，如下所示。
我们浏览并选择文件productidvals.csv作为要上传的查找文件，并选择搜索作为目标应用程序。我们还保留相同的目标文件名。
单击“保存”按钮后，文件将作为查找文件保存到 Splunk 存储库中。
创建查找定义
为了使搜索查询能够从我们刚刚上传的查找文件中查找值，我们需要创建一个查找定义。我们通过再次转到Settings → Lookups → Lookup Definition → Add New 来完成此操作。
接下来，我们通过转到Settings → Lookups → Lookup Definition检查添加的查找定义的可用性。
选择查找字段
接下来，我们需要为搜索查询选择查找字段。这是我通过New search → All Fields完成的。然后选中productid复选框，这也会自动从查找文件中添加productdescription字段。
使用查找字段
现在我们在搜索查询中使用“查找”字段，如下所示。可视化显示带有productdescription字段而不是productid的结果。
