스플렁크 서버에서 검색을 실행하고 결과를 조회합니다.

profile=PROFILE

스플렁크 접속 프로파일

duration=NUM{mon|w|d|h|m|s}

현재 시각으로부터 일정 시간 범위 이내의 데이터로 한정. s(초), m(분), h(시), d(일), mon(월) 단위로 지정할 수 있습니다. 예를 들면, 10s의 경우 현재 시각으로부터 10초 이전까지의 범위를 의미합니다.

from=yyyyMMddHHmmss

yyyyMMddHHmmss 포맷으로 범위의 시작을 지정합니다. 뒷자리를 쓰지 않으면 0으로 채워집니다.

to=yyyyMMddHHmmss

yyyyMMddHHmmss 포맷으로 범위의 끝을 지정합니다. 뒷자리를 쓰지 않으면 0으로 채워집니다.

[SPL]

옵션 파라미터가 아닌 필수 파라미터이며 실행을 원하는 SPL(Splunk Processing Language)이 대괄호 안에 입력되어야 합니다.

$("변수명")을 이용해 검색조건에 변수를 활용할 수 있습니다. 대괄호 안에서 함수는 지원하지 않으며, $("변수명") 형태의 치환문자가 있을 경우에만 치환합니다. 변수명에 해당하는 필드가 없을 경우 빈 값으로 치환됩니다.

자세한 사용방법은 아래 예시를 참고하세요.

사용 예시

• set rest_query="..." | splunk-search [ $("rest_query") ]
• set path1="..." | set path2="..." | splunk-search [ | rest /services/$("path1")/introspection/$("path2") ]
• set path1="..." | ... | splunk-search [ | rest /services/apps/$("path1") | search title=$("title_filter") | fields $("field1"), $("field2"), $("field3") ]

출력 필드

출력 필드는 스플렁크 검색 결과에 따라 다릅니다.