如何在 Splunk 仪表板中使用最早和最晚的特定日期/时间？

Question

如何在 Splunk 仪表板中使用最早和最晚的特定日期/时间？我无法弄清楚让 Splunk 仪表板采用硬编码的精确日期而不是偏移量的语法。

这个效果非常好；从 2 天前到 1 天前，24 小时跨度：

<earliest>-2d@h</earliest>
<latest>-1d@h</latest>

我参考了此文档：https://docs.splunk.com/Documentation/Splunk/9.1.1/Search/Specifytimemodifiersinyoursearch#:~:text=For%20exact%20time%20ranges%2C%20the,April%2027 %2C%202022。 他们的搜索栏示例是：

earliest=04/19/2022:00:00:00 latest=04/27/2022:00:00:00

但是，尝试将其应用到我的仪表板时，下面给出了我：

Invalid earliest_time.

<earliest>11/13/2023:00:00:00</earliest>
<latest>11/14/2023:00:00:00</latest>

Answer 1

引用的文档用于在 SPL 中指定

earliest

和

latest

，但这不是这里发生的情况。这是一个具有不同规则的简单 XML 仪表板。简单 XML 要求

earliest

和

latest

是相对时间或 Unix 纪元。请参阅“子元素”，网址为 https://docs.splunk.com/Documentation/Splunk/9.1.2/Viz/PanelreferenceforSimplifiedXML#search