如何在Splunk的untable命令中指定多个X字段实现数据转换？

问题场景 #

原始数据格式：

需要转换为以下格式（每个_time+id组合对应多行，每行对应一个value字段）：

尝试使用untable命令时，仅指定_time作为x字段，导致id被误识别为需要转置的字段，出现value_name="id"的无效行。需要实现以_time和id的组合作为维度进行转置。

解决方案 #

由于Splunk的untable命令仅支持单个x字段，可通过合并多维度字段为临时键，转置后再拆分回原字段的方式实现需求：

| makeresults 
| eval _time="2023-02-22", id="abcde", value1=0, value2=45, value3=23 
| append [| makeresults 
| eval _time="2023-02-23", id="abcde", value1=1, value2=4, value3=17]
| append [| makeresults 
| eval _time="2023-02-22", id="xyz", value1=1, value2=46, value3=24]
| append [| makeresults 
| eval _time="2023-02-23", id="xyz", value1=2, value2=5, value3=18]
| table _time id value1 value2 value3
| eval combined_key = _time . "|" . id  // 将_time和id合并为临时组合键
| untable combined_key value_name value  // 以组合键为x字段执行转置
| eval temp = split(combined_key, "|"), _time=mvindex(temp,0), id=mvindex(temp,1)  // 拆分组合键回原字段
| fields - combined_key temp  // 移除临时字段
| table _time id value_name value  // 整理最终显示字段顺序

步骤说明 #

1. 合并维度字段：用eval将_time和id拼接成一个临时字段combined_key，确保每个维度组合唯一。
2. 执行转置：以combined_key作为untable的x字段，此时仅value1/2/3会被转置为value_name和value。
3. 拆分回原字段：用split拆分临时组合键，还原_time和id字段。
4. 清理与整理：移除临时字段，调整显示顺序得到目标格式。

内容的提问来源于stack exchange，提问作者Rob Fisher