Splunk跨索引关联查询：如何通过主查询用户名获取对应邮箱？

你的需求完全可以实现，先说说你之前两次尝试的问题，再给你正确的写法：

原查询的问题 #

第一种查询的问题 #

• 子查询里写userDisplayName=username是把username当成了固定字符串，而不是主查询里的字段值，得用变量引用或者统一字段名来匹配；另外子查询里的format | table userPrincipalName完全多余，join命令自己会处理匹配逻辑，不需要额外格式化
• 最后table里的user字段在主查询里没定义，应该是username

第二种查询的问题 #

• 你这里用的是子搜索（subsearch），它的作用是先执行子搜索，把结果作为主搜索的过滤条件，不是用来关联字段获取邮箱的，逻辑完全错误

正确实现方式 #

给你两种常用方案，第二种性能更优，是Splunk官方推荐的做法：

方案1：用join（适合小数据量场景） #

index=dlp sourcetype="security:ta" signature="Administrative account was enabled"
| rename file_name as username
| join type=left username 
    [search index=aad_enterprise 
     | rename userDisplayName as username 
     | fields username userPrincipalName]
| table _time username userPrincipalName

• 子查询里把userDisplayName重命名为username，和主查询的关联字段名统一，避免匹配错误
• type=left保证主查询的所有记录都能保留，哪怕没匹配到邮箱的也会显示

方案2：用stats（大数据量场景更高效） #

Splunk中join在数据量大时容易出现性能瓶颈，官方更建议用stats来实现字段关联：

(index=dlp sourcetype="security:ta" signature="Administrative account was enabled") OR (index=aad_enterprise)
| eval username=if(index="dlp", file_name, userDisplayName)
| stats values(_time) as _time values(userPrincipalName) as userPrincipalName by username
| table _time username userPrincipalName

• 先一次性拉取两个索引的相关数据
• 用eval把两个索引里的关联字段统一命名为username：dlp索引取file_name，aad_enterprise索引取userDisplayName
• 按username分组聚合，把对应的时间和邮箱整合到同一条记录里

内容的提问来源于stack exchange，提问作者materialAnywhere