如何将Splunk搜索查询的硬编码服务器改为读取JSON文件

需求背景 #

现有一条展示服务器健康状态的Splunk查询，其中服务器列表为硬编码形式，需要改为从指定JSON文件读取服务器信息。

原数据与查询 #

原服务器数据（注：你提供的是YAML格式，需转为标准JSON后使用） #

原YAML内容：

hosts: 
  - name: server_1.company.com
  - name: server_2.company.com
  - name: server_3.company.com
  - name: server_4.company.com

转为标准JSON格式（保存为hosts.json）：

{
  "hosts": [
    {"name": "server_1.company.com"},
    {"name": "server_2.company.com"},
    {"name": "server_3.company.com"},
    {"name": "server_4.company.com"}
  ]
}

原硬编码查询语句 #

index=app_* 

| WHERE host IN ("server_1", "server_2", "server_3", "server_4")

| eval server_status=case( 
                  match(_raw, "HTTP/1.1\" 200"), "OK",
                  match(_raw, "HTTP/1.1\" 404"), "NOT OK",
                  true(), "ERROR")

| eval server_type=case(host IN ("server_1", "server_2", "server_3", "server_4"), "processor")  

| table _time, host, server_status, server_type

优化后的实现方案 #

步骤1：上传JSON文件到Splunk #

将修改好的hosts.json上传到Splunk的查找表（Lookup）目录，或通过Splunk Web界面的「设置 > 查找 > 查找表文件」上传，确保文件可被Splunk读取。

步骤2：修改Splunk查询语句 #

使用inputlookup命令加载JSON中的服务器列表，替换原硬编码的IN子句，同时简化server_type的判断逻辑：

index=app_* 
// 子查询加载JSON中的服务器列表，过滤主查询的host
[ | inputlookup hosts.json | rename name AS host | fields host ]

| eval server_status=case( 
                  match(_raw, "HTTP/1.1\" 200"), "OK",
                  match(_raw, "HTTP/1.1\" 404"), "NOT OK",
                  true(), "ERROR")

// 已通过子查询过滤目标服务器，直接赋值server_type
| eval server_type="processor"  

| table _time, host, server_status, server_type

说明 #

• 子查询[ | inputlookup hosts.json | rename name AS host | fields host ]会读取JSON中的服务器名称，自动生成host IN (...)的过滤条件，替代原硬编码内容。
• 主查询已过滤出目标服务器，server_type无需再用case判断，直接赋值即可简化语句。

内容的提问来源于stack exchange，提问作者Kerbol