Заголовок Splunk Host переопределяет ключ хоста из сообщений журнала

Question

Как я могу остановить Splunk, считая имя хоста «host» более важным, чем ключ «host»?

Предположим, у меня есть следующие журналы:

color = red; хост = localhost цвет = синий; host = newhost

Следующий запрос работает нормально:

index=myindex | stats count by color

, но не следующее:

index=myindex | stats count by host

потому что вместо «host» будучи ключом из журнала, он видит заголовок хоста как «хост».

Как я могу с этим справиться?

Answer 1

Когда есть два поля с одинаковым именем, одно из них должно «выиграть». В данном случае это тот, который Splunk определяет перед обработкой самого события. Как вы, наверное, знаете, каждому событию во время ввода предоставляется 4 поля: index, host, source и sourcetype. Данные из события не переопределят их, если это специально не указано в файлах конфигурации.

Чтобы переопределить настройки, поместите это в свой файл transforms.conf

[sethost]
REGEX = host\s*=\s*(\w+)
DEST_KEY = MetaData:Host
FORMAT = host::$1

You ' Мне также нужно указать преобразование в вашем файле props.conf

[mysourcetype]
TRANSFORMS-host = sethost