splunk - Splunk 中包含多个查询的单个电子邮件警报

Question

当我们通过 splunk 触发电子邮件时，我们希望显示 3 个具有不同结果集的表。是否有任何选项可以为单个电子邮件警报配置多个 splunk 查询？

请帮助您的输入。

Answer 1

看看这里的方法：

https://answers.splunk.com/answers/111602/trigger-a-pdf-via-the-command-line.html

您可以创建包含许多搜索和图表的仪表板，并使用 PDF 计划进行计划。

然后，您可以创建一个不同的 shell 脚本来运行仪表板的 pdf 到电子邮件：

 !/bin/bash
  curl -k -u admin:password 
 https://localhost:8089/servicesNS/admin/search/saved/searches/_ScheduledView__mypdf/dispatch -d trigger_actions=1

之后，您可以设置运行此 shell 脚本的警报：

[whatever_alert]
 action.script = 1
 action.script.filename = whatever_pdf_trigger.sh
 cron_schedule = */10 * * * *
 dispatch.earliest_time = -2m@m
 dispatch.latest_time = now
 displayview = flashtimeline
 enableSched = 1
 counttype = number of events
 relation = greater than
 quantity = 0
 search = index=ops | head 2

Answer 2

您可以使用这 3 个表创建仪表板，然后在电子邮件中发布该仪表板。不确定仪表板是否可以转换为警报。