我需要将每个构建日志视为 Splunk 中的单个事件

Question

我正在使用 Splunk App for Jenkins。我需要将每个构建日志视为 Splunk 中的单个事件。每次我在 Splunk 中获取数据时，它都会在时间戳上中断它。

Jenkins 控制台日志

Started by timer
Running as SYSTEM
Building in workspace /var/lib/jenkins/workspace/Common/Server_UI_UAT_UD
[Server_UI_UAT_UD] $ /bin/sh -xe /tmp/jenkins48606894436586402.sh
+ export PYTHONPATH=:/var/www/html/atc/
+ PYTHONPATH=:/var/www/html/atc/
+ /var/www/html/venv_atc/bin/python /var/www/html/atc/csweep/scripts/scheduler/system_health/send_alert.py

Splunk 日志

预计： 我需要将每个构建日志视为 Splunk 中的单个事件。每次我在 Splunk 中获取数据时，它都会在时间戳上中断它。

Answer 1

这不是 Splunk 的工作原理。

您得到的行为是预期的并且是正确的。

一旦日志中出现新条目，Splunk 代理就会将日志数据的差异流式传输到 Splunk 服务器（或可以执行预处理和路由的日志收集器）。这确保了及时的数据摄取、资源（网络和 Splunk 内部数据库）的合理使用，并防止事件丢失。

每个完整构建日志大小可能为数百 MB，因此您想要的不可行。

为了区分一个构建日志与另一个构建日志，我们提供了

source

字段。