splunk - 如何为 splunk 中的用户列表找到特定事件的首次出现

Question

对于 splunk 中的用户列表，我必须首先发生特定事件。

例如：我有来自另一个查询的用户列表说 10。

我正在使用下面的查询来查找客户 12345 发送的第一封邮件的日期。如何从另一个查询中找到相同的客户列表？

index=abc appname=xyz "12345" "*\"SENT\"}}"|reverse|table_time|head 1

Answer 1

尝试使用stats.

index=abc appname=xyz "12345" "*\"SENT\"}}" | stats first(_time)