アラートやレポートによるルックアップテーブルの参照タイミング
リアルタイムサーチのルックアップテーブル参照タイミング リアルタイムサーチをアラート／レポートとして利用している場合、参照するルックアップテーブルは最初にリアルタイムサーチを実行した時点のものが参照され続けます。 常に最新のルックアップテーブルをリアルタイムサーチに反映させるためにはupdate=trueオプションが必要になります。 リアルタイムサーチは初めに参照したルックアップテーブルのみを参照し、それ以後、ルックアップテーブルが更新されてもリアルタイムサーチには反映されません。 サーチ実行例） sourcetype=cc | lookup testlookup zz OUTPUT xx yy リアルタイムサーチは常に最新のルックアップテーブルを参照します。 サーチ実行例） sourcetype=cc | lookup update=true testlookup zz OUTPUT xx yy 以上
株式会社マクニカ Splunk 担当
- TEL：045-476-2010
- E-mail：splunk-sales@macnica.co.jp
平日 9：00～17：00
