Splunk: Splunk入門 (ダッシュボード編 2/2) - ダッシュボードの入力


###### 実施環境： Splunk Cloud 8.2.2104.1

### 0. 概要

前回紹介した通り、 Splunk ダッシュボードでは画面上で検索条件の変更ができるように入力パーツがいくつか提供されており、デフォルトでは8つの種類が使用できます。
今回はそれらの入力パーツについて、簡単に紹介していきます。

![スクリーンショット 2022-03-13 14.46.23.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/6197ed6c-351d-5c00-10eb-9f02db6d6ce9.png "入力の選択")

### 1. 単一値の入力パーツ

単一の値を取得する入力パーツには、以下の4つの入力があります。
もっとも、リンクリストはラジオボタンと見た目が違うだけでほぼ同じですので、使うことはあまりないかと思います。

* テキスト：自由に値を入力できる。選択肢が頻繁に追加、削除される場合に有用。

* ラジオボタン：選択肢から1つを選択できる。選択肢が少ない場合に有用。

* ドロップダウン：選択肢から1つを選択できる。選択肢が多い場合に有用。

* リンクリスト：選択肢から1つを選択できる。選択肢が少ない場合に有用。

単一値を取得する入力パーツは、以下のように設定します。
まず、トークンに使用する文字列を決めます。
今回は、「 level 」としましょう。

![スクリーンショット 2022-03-13 16.29.56.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/e1df7762-508b-4539-c47e-2225006aecb2.png "単一値トークン")

テキスト以外の入力の場合は、「静的オプション」に選択肢を指定します。
このとき、「名前」に指定した値はダッシュボード画面に表示される値、「値」に指定した値は処理で実際に使用される値となります。

![スクリーンショット 2022-03-13 14.50.17.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/0d4fff58-b70e-2950-36c7-4502fa931c72.png "単一値選択肢")

入力側の設定はこれで完了です。

あとは、パネル側の SPL において、入力した値と置き換えたい箇所に以下のようにドルマーク($)で囲ったトークン文字列を書き込みます。

```Splunk:Splunk
index="_internal" sourcetype="splunkd" source="*/splunkd.log" log_level="$level$"
| table _time, event_message
```

![スクリーンショット 2022-03-13 16.28.51.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/700cf3fb-590a-2bf4-d0e2-c2bdb0ad0104.png "単一値SPL")

これでパネル側の設定も OK です。
入力に値を入れることで、 SPL 中のトークン箇所がその値と置き換えられます。

![スクリーンショット 2022-03-13 21.48.44.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/4ed45163-1a36-5be9-bb84-c4c6221419a9.png "単一値図")

###### 1.1. テキスト

文字列を自由に入れることができる入力です。
選択肢を作成する必要がないことから他の入力に比べて手軽に使用できますが、反面入力の自由度が高いため、使用する値を正確に把握していないと欲しい結果を得ることができません。

![スクリーンショット 2022-03-13 14.49.08.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/504db48a-187c-2a07-46f3-595ede6bc784.png "テキスト")

使用する値が以下のような場合に有効です。

* 値が多い場合

* 値が頻繁に追加、削除される場合

* 資料など Splunk の外部で値が確認可能である場合

(例) アカウント ID 、 URL ドメイン

###### 1.2. ラジオボタン

箇条書き形式で選択肢が縦に表示される入力です。
常に全ての選択肢が画面に表示されているため、どのような値が選択できるのかパッと見でわかりやすいですが、あまり大量の選択肢があると非常に見づらいため、選択肢の個数は5個程度が限界かと思います。

![スクリーンショット 2022-03-13 14.51.30.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/15f29436-5048-dcf2-4def-057cf120c161.png "ラジオボタン")

使用する値が以下のような場合に有効です。

* 値が少ない場合

* 値がほとんど追加、削除されない場合

(例) 正常/異常、大正/昭和/平成/令和

###### 1.3. ドロップダウン

ドロップダウンリスト形式で選択肢が表示されたり隠れたりする入力です。
選択時以外は選択肢が画面に表示されないため、選択肢の個数が多くても見やすい画面を実現できます。

![スクリーンショット 2022-03-13 16.37.30.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/052e5db1-c4db-b9bc-f364-7485583425d6.png "ドロップダウン1")

![スクリーンショット 2022-03-13 14.52.39.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/cd72817c-4700-e0fb-ed75-acd12ea116a4.png "ドロップダウン2")

選択肢が9個以上だと選択肢の上に検索フォームが追加されるため、選択肢の個数が非常に多い場合も簡単に値を選択できます。

![スクリーンショット 2022-03-13 16.43.36.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/d793ff19-db4b-bdac-5327-8baf7680653d.png "ドロップダウン少量")

![スクリーンショット 2022-03-13 16.44.10.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/8fd011ee-fde5-dec0-16c1-0f82ac72018b.png "ドロップダウン多量")

使用する値が以下のような場合に有効です。

* 値が多い場合

* 値がほとんど追加、削除されない場合

(例) ホスト名、国名

###### 1.4. リンクリスト

ボックス形式で選択肢が横に表示される入力です。
見た目以外はほとんどラジオボタンと同じです。
ぱっと見でどう操作するかわかりにくいため、正直あまり使うことはないかと思います。

![スクリーンショット 2022-03-13 15.15.13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/82d7baaf-e9f7-7290-bfc8-9b4cd0819302.png "リンクリスト")

### 2. 複数値の入力パーツ

複数の値を取得する入力パーツには、以下の2つの入力があります。

* チェックボックス：ラジオボタンの複数版。選択肢が少ない場合に有用。

* 複数選択：ドロップダウンの複数版。選択肢が多い場合に有用。

複数値を取得する入力パーツは、以下のように設定します。
まず、トークンに使用する文字列を決めます。
先ほどと同様、「 level 」としましょう。

![スクリーンショット 2022-03-13 16.40.29.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/593561a3-81da-8e2d-6b1e-7f92e5249d2f.png "複数値トークン")

次に、「静的オプション」に選択肢を指定します。

![スクリーンショット 2022-03-13 21.14.08.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/3f09251d-7d09-0113-c655-40f06cb28cac.png "複数値選択肢")

単一値の場合はこれで終わりですが、複数値の場合はもう一手間必要です。
このままですと、例えば「 INFO 」と「 WARN 」を選択した場合、トークンが置き換えられる文字列が

 INFOWARN

となり、 SPL の該当箇所が

 log_level="INFOWARN" 

といった形になります。
これは明らかに欲しいものと異なります。
本来であれば、以下のようになってほしいわけです。

 log_level="INFO" OR log_level="WARN" 

そこで、「トークンオプション」のプレフィックス、サフィックス、区切り文字を以下のように入力し、プレビューが上記の形になるようにします。
 OR の前後には空白が入るようにしてください。

| 項目 | 値 |
| --- | --- |
| トークンプレフィックス |   |
| トークンサフィックス |   |
| トークン値プレフィックス | log_level=" |
| トークン値サフィックス | " |
| 区切り文字 |  OR  |

![スクリーンショット 2022-03-13 15.12.49.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/832e79e3-f405-997e-2324-e0512d5e14d7.png "複数値区切り")

プレビューが想定通りとなれば OK です。
なお、上記の項目毎の配置箇所は以下の通りです。

(トークンプレフィックス)(トークン値プレフィックス)(選択した値1)(トークン値サフィックス)(区切り文字)(トークン値プレフィックス)(選択した値2)(トークン値サフィックス)(トークンサフィックス)

あとは、パネル側の SPL においてトークン文字列を書き込みます。
単一値の時とは置き換え箇所が異なることに注意してください。

```Splunk:Splunk
index="_internal" sourcetype="splunkd" source="*/splunkd.log" $level$
| table _time, event_message
```

![スクリーンショット 2022-03-13 16.38.20.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/0e42af06-adc7-fcc1-5eaf-fdd529442ec5.png "複数値SPL")

これでパネル側の設定も完了となります。

![スクリーンショット 2022-03-13 22.04.29.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/7d38288f-3dc1-b151-dd9f-bc30541a0040.png "複数値図")

###### 2.1. チェックボックス

ラジオボタンの複数版です。
選択肢が少ない場合に向いています。

![スクリーンショット 2022-03-13 15.12.08.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/dab4025d-93f1-8cfd-ce99-b1723ff42ba4.png "チェックボックス")

###### 2.2. 複数選択

ドロップダウンの複数版です。
選択肢が多い場合に向いています。
ただしドロップダウンと異なり選択肢が非常に多くても検索フォームは表示されません。
またいくら選択肢は隠れるといっても選択している値は画面に表示されるため、あまり極端に選択肢が多いと画面が見づらくなる可能性があります。

![スクリーンショット 2022-03-13 15.11.51.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/90ee6d48-5021-e77b-4184-eb138a366be2.png "複数選択1")

![スクリーンショット 2022-03-13 21.16.28.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/9d1eb36e-572c-8d0d-2e77-2df365d88bc9.png "複数選択2")

### 3. 特殊な入力パーツ

###### 3.1. 時間

入力パーツの中でも最も頻繁に使用される入力パーツです。
これを使うことで、 SPL 文の検索期間を指定することができます。

![スクリーンショット 2022-03-13 14.47.38.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/d68be518-cde5-bd29-7ae0-0d007047525b.png "時間")

設定の方法も他の入力パーツとは少々異なります。

トークン文字列を指定するところまでは他と同じです。

![スクリーンショット 2022-03-13 16.30.16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/3a2fd4bf-d615-043a-0bcb-7f7b677ea866.png "時間トークン")

ただ、パネル側でのトークンの指定方法は、 SPL を書き換えることはせず、「時間範囲」を「共有タイムピッカー」に変更することで指定します。

![スクリーンショット 2022-03-13 16.30.30.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/5bd0a8f2-1ca7-d947-04e8-9b728a8f17b5.png "時間タイムピッカー")

これで、パネルの SPL の検索期間をダッシュボード画面から変更することが可能になります。

###### 3.2. 実行

この入力パーツは、他の入力パーツとは全く異なる入力パーツです。
パネルの検索結果には何の影響も与えず、また設定なども存在しません。
この入力パーツを追加すると「実行」と書かれたボタンがダッシュボードに追加され、追加されたボタンを押すとパネルの SPL 文が即座に実行、更新されます。
複数の検索条件を指定してから検索を実行したい際など、パネルの SPL 文の自動実行を避けたい場合に有用です。

![スクリーンショット 2022-03-13 15.16.04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/4855c989-7754-49f7-f9dc-05e02b3236ce.png "実行")

以上、様々な入力パーツについて紹介しました。
これで Splunk 入門の記事は全てです。

[戻る](https://qiita.com/frozencatpisces/items/fb8dcaf0094abe9e5bd3)