splunk - 在 Splunk 饼图搜索表达式中需要帮助

Question

我是 splunk 仪表板开发的新手，到目前为止，我只使用“单一价值”来创建 KPI。

我有三个 KPI 的结果是 600、250、150

KPI 1 搜索表达式 - 结果为 600（示例）

index=indexname kubernetes.container_name=tpt
MESSAGE = "Code request"
| spath output=message path=MESSAGE 
| table _time message
| stats count as count1

KPI 2 搜索表达式 - 结果为 250（示例）

index=indexname kubernetes.container_name=rsv
MESSAGE = "pin in email"
| spath output=message path=MESSAGE 
| table _time message
| stats count as count2

KPI 3 搜索表达式 - 结果为 150（示例）

index=indexname kubernetes.container_name=rsv
MESSAGE = "pin in sms"
| spath output=message path=MESSAGE
| table _time message
| stats count as count3

我在仪表板中将 KPI 显示为数字。但是，我想显示一个饼图，上面的数字分别占 60%、25% 和 15% 的份额。创建此图表的搜索表达式是什么？

Answer 1

您可以通过将其作为单个查询、提取字段并使用 splunk 附加来实现它append，下面是查询

index=indexname kubernetes.container_name=tpt MESSAGE = "*Code request*" 
| spath output=msg path=MESSAGE 
| eval counts=case((msg="Code request" ,"count1",msg="pin in email" ,"count2",msg="pin in sms" ,"count3")
| stats count by counts 
| append [search index=indexname kubernetes.container_name=rsv MESSAGE = "*pin in email*" 
| spath output=msg path=MESSAGE 
| eval counts=case((msg="Code request" ,"count1",msg="pin in email" ,"count2",msg="pin in sms" ,"count3")
| stats count by counts 
| append [search index=indexname kubernetes.container_name=rsv MESSAGE = "*pin in sms*" 
| spath output=msg path=MESSAGE 
| eval counts=case((msg="Code request" ,"count1",msg="pin in email" ,"count2",msg="pin in sms" ,"count3")
| stats count by counts ]]