splunk - 如何在 SPLUNK 仪表板中添加特定于每一列的过滤器

Question

我正在从 Splunk 日志创建仪表板

在此仪表板中，我想将过滤器添加到每一列。 只需写入过滤器文本框，就需要过滤数据。像这样的东西。

这是源详细信息

<dashboard>
  <label>dataReportTable</label>
  <row>
    <panel>
      <table>
        <search>
          <query>index=_internal sourcetype=splunkd source="D:\\Software\\var\\log\\splunk\\splunkd.log"|
dedup _time, message | table _time, message</query>
          <earliest>-24h@h</earliest>
          <latest>now</latest>
          <sampleRatio>1</sampleRatio>
        </search>
        <option name="count">20</option>
        <option name="dataOverlayMode">none</option>
        <option name="drilldown">none</option>
        <option name="percentagesRow">false</option>
        <option name="rowNumbers">false</option>
        <option name="totalsRow">false</option>
        <option name="wrap">true</option>
      </table>
    </panel>
  </row>
</dashboard>

Answer 1

像这样：

| multisearch
    [ |makeresults | eval _time = "   Search Time", message = "   Search Message" ]
    [ YOUR ORIGINAL SEARCH HERE ]

如果您需要将其标记化，则如下所示：

| multisearch
    [ |makeresults | eval _time = "   " . $time_token$, message = "   " . $message_token$ ]
    [ YOUR ORIGINAL SEARCH HERE ]