splunk - 使用 Rest API 搜索 Splunk，无需保存搜索

Question

我对使用 Splunk 非常陌生，并且有一个非常基本的问题。是否可以在不使用已保存搜索的情况下使用 REST API 来查询 Splunk？

谢谢。

Answer 1

您可以将搜索字符串指定为导出端点的参数并获取结果，而无需在服务器上保存搜索。

curl -ku admin:changeme https://localhost:8089/servicesNS/admin/search/search/jobs/export -d search="search index%3D_internal | head 3" -d output_mode=csv

output_mode 是一个可选参数。使用 xml 作为默认值，您还可以指定 json、csv 或 xml。

如果您想坚持您选择的语言，您也可以使用其中一种Splunk SDK 。SDK 使您可以更轻松地与 Splunk 交谈。

-尼拉杰。