Можете ли вы объединить многозначные поля для формирования консолидированного оповещения Splunk?

Question

У меня есть поиск Splunk, который возвращает несколько журналов одного и того же исключения, по одному для каждого идентификационного номера (из пакетного процесса).У меня нет проблем при извлечении поля из журнала с помощью reg-ex, и я могу легко создать одно предупреждение для каждого идентификационного номера.

Slack Message: "Reference number $result.extractedField$ has failed processing."

Поскольку ошибка возникает в пакетах, отправка предупреждения для каждого ссылочного идентификатораэтот провал очень быстро загромождает мой канал Slack.Можно ли собрать все извлеченные поля и настроить оповещение на отправку только одного сообщения?Вот так ...

Slack Message: "Reference numbers $result.listOfExtractedFields$ have failed to process." 

Answer 1

Для получения сводного оповещения вам нужны сводные результаты поиска.Сделайте это следующим образом:

index=the_index_youre_searching "the class where the error occurs" "the exception you're looking for" 
| stats values(*) as * by referenceID

Обязательно выберите условие запуска «Один раз» в настройке оповещения.