如何通過splunk sdk在日誌文件中找到唯一模式

Question

我有一個要求，用於識別splunk中的所有唯一日誌模式。我可以在splunk UI的模式選項卡上找到它，但想要以編程方式獲取它。

我可以使用splunk sdk獲得搜索結果，無法找到唯一的日誌模式。

Answer 1

當你點擊模式時，它執行cluster命令。實際上，您可以通過在運行的作業中查看活動下拉菜單來查看集羣命令。

它在你剛剛運行的搜索使用loadjob，並增加了這一點：

| cluster t=0.9 labelonly=true labelfield=_patterns match=termset 
| findkeywords labelfield=_patterns dedup=true 

所以這只是一個普通的搜索，然後利用集羣。