Splunk - 透视表和数据集

Splunk 可以导入不同类型的数据源并构建类似于关系型数据库表的表格。这些被称为表格数据集或简称表格。它们提供了一种简单的方法来分析和过滤数据以及进行数据查找等操作。这些表格数据集也用于创建透视分析，我们将在本章中学习。

创建数据集

我们使用名为 Splunk 数据集插件的 Splunk 插件来创建和管理数据集。它可以从 Splunk 网站下载，https://splunkbase.splunk.com/app/3245/#/details. 必须按照此链接详细信息选项卡中给出的说明进行安装。安装成功后，我们将看到一个名为创建新的表格数据集的按钮。

选择数据集

接下来，我们点击创建新的表格数据集按钮，它会提供以下三个选项。

• 索引和数据源类型 - 从已添加到 Splunk 的现有索引或数据源类型中选择（通过“添加数据”应用）。

• 现有数据集 - 您可能之前已经创建了一些数据集，您可以通过从现有数据集创建新的数据集来修改它们。

• 搜索 - 编写搜索查询，其结果可用于创建新的数据集。

在我们的示例中，我们选择一个索引作为我们的数据集数据源，如下图所示：

选择数据集字段

在上面的屏幕中点击“确定”后，我们将看到一个选项，可以选择我们最终想要添加到表格数据集中的各个字段。`_time` 字段默认选中，此字段不可删除。我们选择的字段是：bytes、categoryID、clientIP 和 files。

在上面的屏幕中点击“完成”后，我们将得到包含所有选中字段的最终数据集表，如下所示。在这里，数据集已变得类似于关系型数据库表。我们使用右上角的另存为选项保存数据集。

创建透视表

我们使用上述数据集来创建透视表报表。透视表报表反映了一列值相对于另一列值的聚合。换句话说，一列的值构成行，另一列的值构成列。

选择数据集操作

为此，我们首先使用数据集选项卡选择数据集，然后从该数据集的操作列中选择使用透视表可视化选项。

选择透视表字段

接下来，我们选择创建透视表的适当字段。我们将 `category ID` 选择为拆分列选项，因为此字段的值应在报表中显示为不同的列。然后，我们将 `File` 选择为拆分行选项，因为此字段的值应在行中显示。结果显示了每个 `categoryid` 值在 `file` 字段中每个值的计数。

接下来，我们可以将透视表另存为报表或现有仪表盘中的面板，以便日后参考。