サーチ画面の時間範囲選択に任意の検索期間を追加する方法

公開日
2017-01-23
最終更新日
2017-01-23
バージョン
Splunk Enterprise 6.5.1
概要
サーチ画面の時間範囲選択に任意の検索期間を追加する方法
参考情報
内容

検索対象期間の選択について

Splunkでは検索対象期間をタイムレンジピッカーとよばれる、時間範囲の選択より指定することができます。

デフォルトで、"昨日"や"今週"といった検索期間が用意されていますが、任意の検索期間を追加することが可能です。

タイムレンジピッカーに任意の検索期間を追加する手順

  • Splunkサーバーにsshでログインします。
  • 次のファイルをテキストエディタで、新規作成もしくは開きます。

追加したタイムレンジをAppに寄らずに全体で共有したい場合:
$SPLUNK_HOME/etc/system/local/times.conf

追加したタイムレンジを特定のAppだけで使いたい場合:
$SPLUNK_HOME/etc/apps/(対象のApp名)/local/times.conf

  • 以下のように記載(追記)します。
[<任意の文字列>]
label = <タイムレンジピッカーに表示させる文字列>
earliest_time = <検索期間の開始>
latest_time = <検索期間の終了>

※earliest_time、latest_timeは以下の記載方法に従って記載します。
http://docs.splunk.com/Documentation/Splunk/6.5.1/Search/Specifytimemodifiersinyoursearch

例えば、2013年度の秋という検索期間を追加したい場合、以下のように記載します。

[Fall_2013]
label = Fall Semester 2013
earliest_time = 1378278000
latest_time = 1386921600
  • times.confを保存し、エディタを終了します。
  • Splunkを再起動します。

以上