マクロ機能を利用して、検索文を簡略化して表示する方法

公開日
2015-05-07
最終更新日
2015-05-07
バージョン
Splunk Enterprise 6.1.5
概要
マクロを利用して、よく利用する検索文を簡略化する
参考情報
内容

マクロとは、コマンドも含めた検索文字列をまとめて保存することができる機能です。検索文に `マクロ名` を加えることで、設定した検索文字列が検索条件に追加されます。

よく使う検索条件が長い場合、マクロを利用することで検索条件を記述する手間を省くことが可能です。

マクロ利用例および設定例

利用例: 2015/4/1 00:00:00 から 2015/4/2 01:00:00 および 2015/4/2 08:55:00 から 2015/4/2 09:00:00 の範囲の全てのイベントを検索対象から除外する

設定手順

Splunk Webにて設定を行います。

  • 画面右上の設定>ナレッジ 詳細サーチ>サーチマクロにて、新規作成をクリックします。
  • 任意の宛先Appを選択します。
  • 名前欄にマクロ名を記入します。ここで設定した名前を検索時に使用します。
    ※使用できる文字は英数字、アンダースコア(_)、ダッシュ(-)です。
  • 定義欄に以下を記入します。
    NOT ((_time > 1427814000 _time < 1427817600) OR (_time > 1427932500 _time < 1427932800))
  • 設定を保存します。任意でサーチマクロの画面にて、共有中の権限をクリックし、作成したマクロの権限を追加します。
  • 検索文に`<マクロ名>`を追加し、検索を実行します。
    検索例: index=test ERROR `macro`

以上