splunk - Splunk Query 更新查询

Question

我正在处理 Splunk 要求，这就像 splunk 脚本计划从周一到周五每 15 分钟运行一次 30m。然而，他们有一个新的要求，即仅在周六和周日运行这个脚本 60m。

仅在周六和周日每 60m 运行一次的现有脚本中要进行哪些更改。请帮忙。

谢谢文卡特什

Answer 1

我认为在周一到周五之间制定一个 15 分钟的 cron 计划，周六和周日每 60 分钟一次会很棘手。我建议你复制一份你的搜索，并为周末的搜索设置一个单独的时间表。

要克隆搜索，请转至设置 > 搜索、报告和警报。找到搜索，然后单击编辑 > 克隆。

要更改搜索计划，请转至设置 > 搜索、报告和警报。找到克隆的搜索，然后单击编辑 > 编辑计划。我建议您将此 cron 计划设置为0 */1 * * 0,6使其在周六和周日每小时 0 分钟后运行