如何使用下拉菜单来过滤 Splunk 查询结果

Question

我正在尝试向我的仪表板添加一个下拉列表，该下拉列表将允许用户选择要计数的字段。 以下是我的询问：

index='splunk_demo' source='demo.zip'
| fields Name, Model.New, Model.Old, Price|table Name, Model.New, Model.Old, Price
| chart count(Name) by Model.New

我想将

Model.New

和

Model.Old

添加到下拉列表中，当用户在下拉列表中选择其中之一时，它将按

Model.New

或

Model.Old

计算名称字段。

我希望现有查询末尾的

chart count

查询是查询 1 或查询 2，具体取决于用户的选择，如下所示：

查询1：

index='splunk_demo' source='demo.zip'
| fields Name, Model.New, Model.Old, Price
|table Name, Model.New, Model.Old, Price
| chart count(Name) by Model.New

查询2：

index='splunk_demo' source='demo.zip'
| fields Name, Model.New, Model.Old, Price
|table Name, Model.New, Model.Old, Price
| chart count(Name) by Model.Old

我不确定应该使用什么令牌，一旦获得令牌，我需要如何以及在何处使用它才能使我的

count

命令发挥作用。

我尝试添加下拉菜单并单击“编辑”选项进入并添加标签，但我不知道如何将令牌添加到我的查询中以及在哪里使用它

Answer 1

最简单的方法是在下拉列表中创建一个列表，其中条目值是字段名称（即

Model.Old

和

Model.New

）

调用该代币的名称，例如，

modelchoice

然后在仪表板上进行一次搜索，如下所示：

index='splunk_demo' source='demo.zip'
| fields Name, Model.New, Model.Old, Price
| chart count(Name) by $modelchoice$

Splunk 在遇到令牌时会直接进行替换，无论该令牌的值是什么。

因此，如果令牌的值是字段名称，它将替换为