(实战经验) Splunk 迁移alert / report / dashboard

已于 2022-05-23 10:03:05 修改
阅读量289 收藏
点赞数
分类专栏： splunk 文章标签： splunk search head migration
于 2022-05-22 21:51:01 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/shenghuiping2001/article/details/124917161
版权
本文介绍了如何将Splunk的alert、report和dashboard从原始搜索头迁移到新的搜索头。涉及步骤包括：从原始搜索头复制apps到部署者，通过部署者调度到新搜索头，解决部分应用未显示问题，迁移local文件夹、metadata和lookup，以及用户特定的dashboard、alert和report。
摘要由CSDN通过智能技术生成

Server lists:

  Server A: original search head Captain.

  Server B: new search head Deployer.

  Server C: New search head Server.

操作步骤：

1: copy all apps from Original search head capatian (server A : /opt/splunk/etc/apps/ )to splunk search head deployer : server B:  /opt/splunk/etc/shcluster/apps)

2: dispatch from deployer to new search head: server C:

了解本专栏 订阅专栏 解锁全文 超级会员免费看
shenghuiping2001
关注
专栏目录
订阅专栏
Splunk alert邮件附件pdf禁用chart图
QYHuiiQ
12-29 346
在splunk alert email的配置中，可以勾选"Attach CSV"将spl的结果以pdf的形式附在邮件中，但是默认情况下它还会添加一个chart图，比如说我们的spl是以table的形式取展示的，它自动添加一个chart图就显得不太合适，我们可以在alert列表中，选择edit里面的advanced edit，将display.visualizations.show的值设置为0即可。 Solved: How do I remove the chart on the top of the PD
Splunk-Alert:Splunk 警报脚本示例
06-17
Splunk 警报脚本模板和示例 文件： credentialsFromSplunk.py：一个包装类，用于获取有效的 Splunk 会话密钥并检索保存在指定 Splunk 应用程序上下文中的一组凭据 targetlist.py：用作 IP 地址列表处理程序的类。 获取 Splunk 警报结果的路径并提取第一列，假设它是 IPv4 地址列表 GoogleSpreadsheet/gsheet.py：用于将 Splunk 警报结果发送到定义的谷歌电子表格的自制程序类。 您必须立即编辑此类中的预期列。 GoogleSpreadsheet/alert_to_gsheet.py：由 Splunk 警报调用的警报脚本，该警报使用 credentialsFromSplunk 和 gsheet 类。 alert_script.py：一个示例警报脚本，它调用占位符 IPS 类，就好像您正在通过它自己的
splunk_ttriage_alert:自定义警报将日志输出到t-Triage
04-06
转到$ SPLUNK_DIR / etc / apps / 克隆此存储库 转到触发动作>添加动作，然后选择“将事件推送到t-Triage” 填写所有字段并保存警报 栏位： URL t-Triage后端实际运行的URL（例如 ） 日志模式转换模式由文字文本和称为转换说明符的格式控制表达式组成。 每个转换说明符均以百分号“％”开头，后跟可选的格式修饰符，转换字和大括号之间的可选参数。 转换字控制数据字段进行转换，例如记录器名称，级别，日期或线程名称。 如果使用的是Logback，则可以在logback.xml文件的和标记之间找到此模式。 程序包名称这些是您要从中获取事件的程序包名称。 如果要检查多个程序包名称，请使用逗号（，）分隔它们。 例如，“ com.clarolab，com.google”。 客户端ID和秘密ID客户端ID和秘密ID是在后端生成的用于认证请求的令牌。
alert_manager:Splunk Alert Manager具有有关警报，工作流（修改受让人，状态，严重性）和自动解决功能的高级报告
05-06
警报管理器 作者：Simon Balz ，Mika ，Datapunctum GmbH 说明：适用于Splunk的Alert Manager App具有有关警报，工作流（修改受让人，状态，严重性）和自动解决功能的高级报告 版本：@ version @ 介绍 警报管理器将简单的事件工作流程添加到Splunk。 通用目的是为公用应用提供仪表板，以调查触发的警报或值得注意的事件。 它可以与每个Splunk警报一起使用，并且可以作为Splunk内置警报机制的扩展。 通过事故状态仪表板了解当前的操作情况 只需单击几下即可分析事件的根本原因 审查并调整突发事件的紧急程度，以改善操作计划 向负责人发送事件 跟踪和报告事件工作流程KPI 对事件进行标记和分类 特征 用作“自定义警报措施”以捕获已触发警报的丰富元数据并将其存储在可配置的单独索引中 每个触发的警报都会创建一个事件 配置的事件可运行知
splunk 7.0.0 search and report 详细指导文档，包含不限于搜索技巧，告警设置，形成报表等
12-05
splunk 7.0.0 search and report 详细指导文档，包含不限于搜索技巧，告警设置，形成报表等
Splunk 输出取 / 分割符 之间的部分
shenghuiping2001的专栏
09-17 194
Splunk 输出取 / 分割符 之间的部分
The minimum free disk space (5000MB) reached for /tmp/splunk/var/run/splunk/dispatch
QYHuiiQ
06-06 806
在执行search语句时可能会出现如下错误： The minimum free disk space (5000MB) reached for /tmp/splunk/var/run/splunk/dispatch 这个要根据自己的实际
Splunk 创建特色 dashboard 报表
shenghuiping2001的专栏
11-04 688
创建特色dashboard: https://docs.splunk.com/Documentation/Splunk/9.1.1/Viz/Aboutthismanual
splunk 的dashboard 制作过程
shenghuiping2001的专栏
01-29 1143
splunk 的dashboard 的创建过程
splunk数据导入
01-05
文件和目录 从网络端口获得数据（UDP：514） 使用脚本（定期使用脚本来获得数据，将脚本放在$splunk_home\bin\scripts目录中） 使用模块输入 需要下载应用command modular input，安装好后在数据输入里面有“command”，用于新建模块。如c:\windows\system32\systeminfo.exe命令 使用通用转发器收集数据 在SUF服务器上安装SUF（splunk universal forwarder）。在SUF安装目录的bin目录下（如c:\program files\splunkuniversalforwarder\bin） 输入命令：splunk start 打开SUF，接受许可证协议 splunk enable boot-start 这是linux下的命令，就是让它开机自动运行，windows自行处理 splunk add forward-server :9997 –auth : 设置索引器的值（即splunk服务器，host），SUF的用户名和密码。9997是端口值 在索引服务器上（splunk服务器）上，设置—转发和接收---配置接收---新增—输入端口值9997 加载样本数据 sp1文件，管理应用—从文件安装应用 在数据输入---脚本，将其激活 在数据输入---文件和目录，将其激活
Splunk 的一个Bug (Events from tracker.log have not been seen)
shenghuiping2001的专栏
03-05 601
Splunk 的一个Bug: Events from tracker.log have not been seen for xx seconds. 解决方法： 除了升级以外，还有就是在健康检查设置上disable.
Splunk alert中引用带有空格的字段名
QYHuiiQ
12-29 402
在alert email中有时我们会通过$result.field$来引用spl中得到的某个字段值，当字段名是包含空格时，同样也是正常使用的，不需要额外添加引号或者其他符号去强调空格的存在： eg: Subject:The error is: $result.test field$ #test field为带有空格的字段名 ......
Splunk alert email subject中引用查询结果中的多条数据的字段值
QYHuiiQ
10-28 461
在splunk alert email subject中，我们有的时候会希望将查询结果中的某个字段值放在subject中引用，一般情况下我们使用result.fieldname即可，但是这种做法只可适用于单条数据，因为result的用法是只针对查询结果中的第一条数据有效： 所以要想使多条数据中的某个字段值都引用到subject中，我们可以尝试使用eventstats然后使用nomv命令将多个值合并在一起，也许还有更好的获取值的方式，但是目前只找到了这一种可用方法： 假设原来的数据是这样的： 我们.
splunk alert email中引用查询结果中的字段
QYHuiiQ
12-05 538
在splunk alert email中有一个配置是可以将查询结果的字段嵌入一个表格的： 也就是在spl中最后的table命令后面指定了哪些字段，在email引用的表格中就会把这些字段全部显示出来。但是有些情况下我们只想让表格中展示某几个字段，然后还有一些字段想用在subject中或者是语言描述中。为了实现这个需求，可以将不展示在表格中的字段重命名为已下划线"_"开头的字段名，这样就可以既不展示在表格里又可以在邮件中的其他地方引用该字段： index="splunk_oracle_index" .
一张图了解理解Splunk报表调度计划
ffjl1985的专栏
07-03 561
一、splunk入门
weixin_43374578的博客
10-25 6872
一、简介 1. Machine Data 一般公司中，机器数据占了大概90%以上，包含如应用数据，监控数据，脚本数据等； 机器数据的数据结构各种各样； 处理数据繁琐且难度大，因此引入工具来提升数据分析效率； 2. Splunk 用来处理数据的，主要包含5个功能 2.1 Index Data 将所有数据进行处理，索引，将数据包装成一个个的event，并存储在指定的位置中； 在检索的时候，通过输入的检索条件，从指定的位置中去读取数据； 2.2 Search & Investigate 在搜
Splunk数据处理概要
chuiku1691的博客
04-10 615
Splunk数据处理概要 0.提要 本篇主要从技术层面针对Splunk Enterprise中关于数据处理的概念、过程与部件进行了概要性总结。 1.数据管理基本概念 索引（index）：Splunk用于存储事件的数据仓库； 索引服务实例（indexer）：管理Splunk索引的（软件部署）实...
Splunk系列：Splunk数据导入篇（二）
11-15 6644
一、简单概述 splunk支持多种多样的数据源，支持上传文件，监控本地的文件，配置通用转发器等方式。所有的设置基本上都可以通过Web页面、splunk CLI命令和直接修改配置文件(需重启splunk生效)三种方式。 最常见的两种场景，比如收集syslog 日志以及使用通用转发器(Agent)收集数据，我们来做一个简单的应用示例吧。 二、应用实例：收集syslog日志 2.1、Linuxrsy...
docker pull splunk/splunk:8.2.4
最新发布
07-06
在这个例子中，`docker pull splunk/splunk:8.2.4` 是在拉取 Splunk 容器镜像，其中 `splunk/splunk` 是镜像名称，`:8.2.4` 是标签版本，表示你要获取的是 Splunk 的 8.2.4 版本。 当你运行这个命令时，Docker 将会...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

shenghuiping2001

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值