splunk - 下拉列表中的索引器分组

Question

我有 20 个索引，我们希望以分组方式在下拉列表中显示它们。我们如何在查询中对它们进行分组？例如：-

index1,Index2,index3 应该带有名称 abc.... 索引 4、索引 2、索引 5 应该带有名称 efg...

所以在下拉菜单中，我们应该只看到 abc 和 efg 的值。所以一旦选择 abc，下面的面板应该相应地显示图形..

Answer 1

将以下内容放在表单/仪表板的开头将为您提供一个下拉列表，您可以从中选择abc和def，对应于您提到的索引集。

<form>
  <label>Index Group Test</label>
  <fieldset submitButton="false">
    <input type="dropdown" token="indexes">
      <label>Index Group</label>
      <choice value="index=index1 OR index=index2 OR index=index3">abc</choice>
      <choice value="index=index4 OR index=index5 OR index=index6">def</choice>
      <selectFirstChoice>true</selectFirstChoice>
    </input>
  </fieldset>
</form>

然后，您将在查询中使用令牌$indexes$来获取选定的索引数据。例如，

<form>
  <label>Index Group Test</label>
  <fieldset submitButton="false">
    <input type="dropdown" token="indexes">
      <label>Index Group</label>
      <choice value="index=index1 OR index=index2 OR index=index3">abc</choice>
      <choice value="index=index4 OR index=index5 OR index=index6">def</choice>
      <selectFirstChoice>true</selectFirstChoice>
    </input>
  </fieldset>
  <row>
    <panel>
      <event>
        <title>Event Data</title>
        <search>
          <query>$indexes$</query>
          <earliest>-24h@h</earliest>
          <latest>now</latest>
        </search>
        <option name="list.drilldown">none</option>
      </event>
    </panel>
  </row>
</form>