搜索Splunk與Rest API沒有保存搜索

Question

我是非常新的使用Splunk，並有一個非常基本的問題。是否可以使用REST API查詢Splunk而不使用已保存的搜索？

謝謝。

Answer 1

您可以指定搜索字符串作爲export端點的參數，並獲取結果而不在服務器上保存搜索。

curl -ku admin:changeme https://localhost:8089/servicesNS/admin/search/search/jobs/export -d search="search index%3D_internal | head 3" -d output_mode=csv 

output_mode是一個可選參數。使用xml作爲默認值，您也可以指定json，csv或xml。

如果您想堅持您選擇的語言，您還可以使用Splunk SDKs之一。 SDK讓您可以更輕鬆地與Splunk交談。

-Neeraj。