splunk - 如何在 Splunk 中解析 JSON 指标数组

Question

我从 API 收到以下格式的 JSON：

[
    {
    "scId": "000DD2",
    "sensorId": 2,
    "metrics": [
        {
            "s": 5414,
            "dateTime": "2018-02-02T13:03:30+01:00"
        },
        {
            "s": 5526,
            "dateTime": "2018-02-02T13:04:56+01:00"
        },
        {
            "s": 5631,
            "dateTime": "2018-02-02T13:06:22+01:00"
        }
}, .... ]

当前尝试在线性图表上显示这些指标，X 轴为 dateTime，Y 轴为“s”。

我使用以下搜索查询：

index="main" source="rest://test3" | spath input=metrics{}.s| mvexpand metrics{}.s
| mvexpand metrics{}.dateTime | rename metrics{}.s as s 
| rename metrics{}.dateTime as dateTime| table s,dateTime

我收到以下格式的数据，不适用于线性图表。关键是 - 如何正确解析 JSON 以将日期时间从dateTimeJSON 中的字段应用到_timeSplunk。

查询结果

Answer 1

@Max Zhylochkin，

您可以尝试以下搜索吗？

index="main" source="rest://test3" 
| spath input=metrics{}.s 
| mvexpand metrics{}.s 
| mvexpand metrics{}.dateTime 
| rename metrics{}.s as s 
| rename metrics{}.dateTime as dateTime 
| table s,dateTime
| eval _time = strptime(dateTime,"%Y-%m-%dT%H:%M:%S.%3N")

谢谢