Splunk: Splunk入門(ダッシュボード編 1/2) - ダッシュボードの基本


###### 実施環境： Splunk Cloud 8.2.2104.1

### 0. 前置き

 Splunk のデータはレポートやアラート、データモデル等いくつかの形式で提供が可能ですが、最もよく使用されるのはこれから紹介するダッシュボード形式かと思います。
ダッシュボードはいくつかの表やグラフを1つの画面にまとめたもので、ソースとしては XML ファイルの形をとります。
 XML に詳しければ非常に複雑な処理を行うダッシュボードも実現可能ですが、 XML についての知識が全くなくてもダッシュボードは作成できます。

![スクリーンショット 2022-01-30 22.53.04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/b9951c8c-82eb-bfc5-b91b-52ec47a6a3fb.png "ダッシュボード例")

### 1. ダッシュボード一覧

ダッシュボードについての作業を行うには、まず Search & Reporting で「ダッシュボード」タブを開きます。

![スクリーンショット 2022-03-06 22.01.06.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/e2574949-367a-4267-83c8-78fc312d5472.png "ダッシュボードタブ")

すると、現在存在するダッシュボードの一覧が表示されます。

![スクリーンショット 2022-03-07 22.22.47.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/4a5529b6-bb1c-19da-fe2f-6e5491bc12f3.png "ダッシュボード一覧")

### 2. ダッシュボードの新規作成

それでは、新しいダッシュボードを作成してみましょう。
右上の「新しいダッシュボードの作成」をクリックします。

![スクリーンショット 2022-03-06 22.01.16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/5e5cf704-b709-174a-da6c-95bf0e7e5dee.png "新しいダッシュボードの作成")

以下のように、新しいダッシュボードの設定画面が開きます。

![スクリーンショット 2022-03-06 22.02.16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/9077bd8e-4e9e-45da-ab01-69993a65fbef.png "ダッシュボード設定画面")

タイトルや ID は自由につけられますが、今回はタイトルは「テスト用」、 ID は「 TEST_DASHBOARD 」を指定しましょう。
ダッシュボードの種類はクラシックで十分です。
スタジオの方が高度な操作が可能ですが、そのレベルが必要なことはそうそうないかと思います。

![スクリーンショット 2022-03-06 22.04.04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/4b1887de-6b26-133f-fec6-0104798c1e83.png "ダッシュボード設定画面2")

「作成」を押すと、以下のように空のダッシュボードが出来上がります。

![スクリーンショット 2022-03-08 22.13.28.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/ad71e104-6a8f-dfa6-bb93-dd14cee36f16.png "新しいダッシュボード")

### 3. パネルの追加

これだけでは何の意味もないので、早速表を1つ追加してみましょう。
上の方にある、「パネルの追加」をクリックします。

![スクリーンショット 2022-03-06 22.05.01.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/d130b082-6193-db73-fab6-edf6181bae54.png "パネルの追加")

クリックすると、以下のように追加するパネルの種類が選択できます。

![スクリーンショット 2022-03-06 22.07.13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/ebb4ca9a-48d8-28a4-aafa-2adf3d098442.png "パネル選択")

単純に元ログを並べるだけの「 Events 」(サーチ画面の「イベント」タブに相当)や各種グラフ(サーチ画面の「視覚エフェクト」タブに相当)も使用できますが、今回は表を追加したいので「 Statistics Table 」(サーチ画面の「統計情報」タブに相当)を選択します。
選択すると、以下のように SPL 文の入力画面になります。

![スクリーンショット 2022-03-06 22.07.53.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/44b7133d-da1f-5860-6ba3-12a0c336033b.png "SPL入力")

今回は以下の SPL 文を入力して、「ダッシュボードに追加」を選択してください。
タイトルは不要です。

```Splunk:Splunk
index="_internal" sourcetype="splunkd" source="*/splunkd.log" log_level="ERROR"
| table _time, event_message
```

![スクリーンショット 2022-03-06 22.09.06.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/9bf1cb46-bce8-18bf-d841-f5a4991ce39d.png "SPL入力後")

以下のようにパネルが追加できます。

![スクリーンショット 2022-03-08 22.23.09.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/ee38e5cf-0ba4-0ac0-50ac-f8ac7b49a43b.png "パネル追加後")

### 4. 入力パーツの追加(タイムピッカー)

ひとまずこれで最低限のダッシュボードは作成できましたが、このままですと検索条件を変えたいときに毎回ソースを編集する必要があります。
検索条件を頻繁に変えたい場合は、これは少々面倒です。
そこでソースを編集せずとも検索条件を変更できるように、ダッシュボードには入力用のパーツがいくつか使用できるようになっています。

まずは検索期間をダッシュボード画面から変更できるようにしてみましょう。
上の方にある、「入力の追加」をクリックします。

![スクリーンショット 2022-03-06 22.09.44.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/45132bfc-96af-7eee-3d5f-434b621bfeac.png "入力の追加")

入力の種類の一覧が出てくるので、「時間」を選択します。
なお、各入力の詳細については別の記事で紹介します。

![スクリーンショット 2022-03-06 22.11.13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/a5e20c35-ca7b-9944-97dc-bcf0b015a5ae.png "入力の種類")

すると左上にタイムピッカーが追加されます。
ただ、これだけだと上のタイムピッカーの値を変更しても下の検索には何も影響を与えません。
トークンを指定して、入力とパネルを結びつける必要があります。
タイムピッカー右上の鉛筆マークをクリックしてください。

![スクリーンショット 2022-03-06 22.11.43.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/817ad58a-e26f-fbe6-c871-edad97e323c2.png "入力の設定1")

クリックすると、以下のような編集項目が表示されます。

![スクリーンショット 2022-03-06 22.12.38.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/21eb1d9d-6350-a66c-ef1c-397d4f6a0199.png "時間1")

ここで重要なのは、「トークン」という項目です。
トークンは、入力で選択した値をパネルで使用する際のキーとなる文字列です。
今回は、トークンとして「time」という文字列を指定して、適用ボタンを押します。

![スクリーンショット 2022-03-06 22.13.14.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/b877e9e4-4c18-9c7a-ce55-4decef9f947a.png "時間2")

次に、パネル右上の虫眼鏡マークをクリックしてください。

![スクリーンショット 2022-03-06 22.14.04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/be9e3c9b-3e85-4e76-49cc-37546989d138.png "パネルの編集")

次のような編集項目が表示されますので、時間範囲を「共有タイムピッカー(time)」に変更して「適用」ボタンを押します。

![スクリーンショット 2022-03-06 22.15.38.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/451c7862-4661-a9b9-84bd-0381429b21be.png "トークン適用1")

これで、入力とパネルが紐付きました。
試しにタイムピッカーの日時を変更してみてください。
それに合わせて検索期間が変わるはずです。

![スクリーンショット 2022-03-06 22.16.53.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/a7c5cf9b-7c58-1651-6bf6-8d141e7af9b7.png "トークン適用2")

### 5. 入力パーツの追加(テキスト)

お次は、 SPL 文中の検索条件をダッシュボード上で変更できるようにしてみましょう。
先ほどと同様の手順で、今度は「テキスト」を選択します。
テキスト入力が追加されたら、右上の鉛筆マークをクリックしてください。

![スクリーンショット 2022-03-06 22.17.37.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/10b29cfe-20ff-7c4d-2681-b6a7d6b42889.png "入力の設定2")

すると、以下のような編集項目が表示されます。

![スクリーンショット 2022-03-06 22.18.48.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/a830fe0a-f8d7-82f5-ff0d-d257af4bdc64.png "テキスト1")

トークンに「level」という文字列を指定して適用ボタンを押します。

![スクリーンショット 2022-03-06 22.19.15.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/116d10e6-3379-942e-fbee-e7a744ee1ef0.png "テキスト2")

先ほどと同様にパネルの編集画面を開き、今度はサーチ文字列を以下のように書き換えます。
この SPL 文中の「$level$」が、指定したテキストに置き換わります。

```Splunk:Splunk
index="_internal" sourcetype="splunkd" source="*/splunkd.log" log_level="$level$"
| table _time, event_message
```

![スクリーンショット 2022-03-06 22.22.16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/ccb40a93-0adc-e591-898a-3c8a02548a02.png "トークン適用3")

編集が完了したら、右上の保存ボタンを押してダッシュボードを保存します。

![スクリーンショット 2022-03-09 20.52.41.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/8d3a2a5d-b56e-3829-41fa-537c184551e2.png "ダッシュボード保存")

これで、ダッシュボードの作成が完了しました。
検索期間を変更したり、テキストに入力する文字列を「 INFO 」や「 ERROR 」に変更したりして動作を確認してみてください。

![スクリーンショット 2022-03-06 22.22.54.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/98e6d945-3535-b0f6-67d4-ad1e82c75707.png "ダッシュボード完成")

なお、今回作成したダッシュボードは自動で更新されないので、うまく更新されない場合はパネルにカーソルをあてると右下に表示される更新マークをクリックしてください。

![スクリーンショット 2022-03-09 20.57.11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/61b8eaab-1c51-d335-de28-6d0f4db8400a.png "更新")

### 6. 既存ダッシュボードの利用/編集

作成済みのダッシュボードを利用したい場合や編集を行いたい場合は、まずダッシュボード一覧画面で編集したいダッシュボードの名前をクリックします。

![スクリーンショット 2022-03-06 22.26.27.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/bff84fd3-484f-00c4-70bd-0bb6f99a1200.png "ダッシュボード名")

クリックするとダッシュボードが開き、利用できます。
編集したい場合は、右上の「編集」をクリックすると編集画面に移動できます。

![スクリーンショット 2022-03-06 22.27.11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/42c89bbf-c4de-68e8-2c19-3dee74a1afde.png "ダッシュボード編集")

### 7. ダークモード

ダッシュボードの編集画面で「暗いテーマ」を ON にするとダッシュボードの見た目が黒を基調としたダークモードになります。

![スクリーンショット 2022-03-06 22.24.12.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/6f15e0c2-564d-7cd7-5455-905dcc292358.png "ダークモード1")

ダークモードにした画面は、以下のような感じになります。

![スクリーンショット 2022-03-06 22.23.49.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/9dc0c58d-eb68-0e7b-aa92-4563d1f18e15.png "ダークモード2")

見た目だけで処理自体に影響はありません。
好みに応じてどうぞ。

### 8. XML ソース

ダッシュボードの編集画面でタブを「ユーザーインターフェース」から「ソース」に切り替えると、ダッシュボードを XML ソースから編集することができます。

![スクリーンショット 2022-03-06 22.24.52.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/0f48010b-5948-6ac4-233a-f531581f97c7.png "ソース1")

![スクリーンショット 2022-03-06 22.25.03.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/45d6b6b9-0771-ce3c-65dd-ad85fdc5dd7f.png "ソース2")

基本的にはここから編集を行うことはありませんが、外部のアプリケーションを利用するなど複雑な処理を実現したい場合は必要な場合があります。
また、ファイルとしてダッシュボードのソースを Splunk サーバ外に保管しておきたい場合は、ここからコピーしてファイルに貼り付けることで保管が可能です。

以上、ダッシュボードの基本について紹介しました。
次回はダッシュボードで使用できる入力パーツについて紹介します。

[戻る](https://qiita.com/frozencatpisces/items/fb8dcaf0094abe9e5bd3)