Splunk 사용자 지정 인덱스 검색

Question

HTTP 이벤트 수집기에서 사용할 Splunk에서 내 자신의 인덱스를 만들었습니다. 인덱스보기를 보면 인덱스에 이벤트가있는 것을 볼 수 있습니다.

그러나 검색 응용 프로그램에 들어가서 소스 요약 탭의 데이터 요약을 보면 색인에 대한 항목이 표시되지 않습니다.

원본 색인 'json_no_timestamp'로 'main'색인을 가리키며이 자료에 HEC의 다른 토큰을 사용했습니다. 그러나 내 자신의 색인을 가리키면 Search에 표시 할 수 없습니다.

흥미로운 사실 ​​중 하나는 색인보기에서 다른 모든 항목이 '응용 프로그램'열에 '시스템'으로 표시되는 반면 내 색인은 '검색'이 대신 있다는 것입니다.

인덱스를 표시하려면 뭔가해야합니까?

Answer 1

검색 할 때 'index = "myIndex"매개 변수를 사용해야했습니다. 불행히도 내 인덱스가 데이터 요약에 나타나지 않는 것처럼 보입니다.하지만 항상 기본 설정 인 'main'처럼 보입니다.