splunk - 如何在 Splunk 中为多个 API 日志设置多个错误场景的警报

Question

我很天真，我必须优先完成这项任务，我想为部署在 PCF 上的多个 api 设置警报，例如

API 名称：错误 1、错误 2、3 ..

API 名称 2：错误 1、错误 2、3。

API-NAME3：错误 1、错误 2、3。

每个 api 的错误都是相同的。

如何编写 splunk 查询以针对上述情况发出警报。

我以为我会简单地使用 or 条件来创建查询

像 Error1 或 Error 2

但这会创建一个全局警报，我不希望这样。

我不能在查询中使用 API 名称，因为 api 名称记录在许多条件（信息、调试等）中，这在许多情况下将不必要地创建警报，

*API 只是调用后端服务器的 URL。

Answer 1

它看起来像这样

... | eval API-NAME=if(API-NAME AND (Error1 OR Error2),"Alert","No Issue") | search API-NAME="Alert" | table API-NAME

如果你有很多条件，你也可以使用 case 语句

然后，您应该创建一个自定义警报