如何在Splunk仪表盘中通过下拉菜单动态选择统计字段

第一步：配置下拉菜单的Token #

• 进入仪表盘编辑模式，找到你已添加的下拉菜单组件，点击「编辑」
• 在选项标签页完成以下设置：
  • 给下拉菜单设置Token名称，比如$selected_model_field$（前后的$是Splunk识别Token的标识）
  • 在静态选项中添加两个选项：
    • 标签：新型号，值：Model.New
    • 标签：旧型号，值：Model.Old
  • 可选：设置默认选中值（比如默认选Model.New）

第二步：修改查询，用Token替换固定字段 #

把原查询里的固定字段Model.New替换成刚才定义的Token，修改后的完整查询如下：

index='splunk_demo' source='demo.zip'
| fields Name, Model.New, Model.Old, Price
| table Name, Model.New, Model.Old, Price
| chart count(Name) by $selected_model_field$

提示：如果字段名带特殊字符（比如这里的.）出现解析问题，可以用反引号包裹Token：by $selected_model_field$``，不过大部分场景下直接用Token即可。

第三步：验证功能 #

保存仪表盘修改并退出编辑模式，切换下拉菜单选项时，图表会自动刷新，分别基于选中的Model.New或Model.Old统计Name的数量。

内容的提问来源于stack exchange，提问作者Gapi