Splunk: ダッシュボードの検索結果からサーチや別のダッシュボードへリンクする


###### 実施環境： Splunk Free 8.2.2

### 0. 概要

 Splunk のダッシュボードにおいて、検索結果をもとにサーチを実行したり、別のダッシュボードにリンクしたりしたい場合があります。
そのようなときに利用する機能が、ドリルダウンです。
今回はそのドリルダウンという機能について紹介していきます。

### 1. ダッシュボードへのリンク

例えば、以下のリンク元ダッシュボードの検索結果をもとにリンク先ダッシュボード( ID : dashboard_link )へリンクさせたいとします。

![WS000202.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/841bb253-2d9d-b636-5a1d-cfee1bf38c31.jpeg "リンク元")

```
<dashboard>
  <label>リンク元ダッシュボード</label>
  <row>
    <panel>
      <table>
        <search>
          <query>| makeresults count=1
| eval link="dashboard_link"
| eval index="_audit"</query>
          <earliest>-24h@h</earliest>
          <latest>now</latest>
        </search>
        <option name="drilldown">none</option>
        <option name="refresh.display">progressbar</option>
      </table>
    </panel>
  </row>
</dashboard>
```

![WS000203.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/9a2520fb-b840-c8ac-1792-b3eb677722c7.jpeg "リンク先")

```
<form>
  <label>リンク先ダッシュボード</label>
  <fieldset submitButton="false">
    <input type="text" token="text_token">
      <label>インデックス名</label>
      <default>_internal</default>
    </input>
  </fieldset>
  <row>
    <panel>
      <chart>
        <search>
          <query>index="$text_token$"
| timechart span=1h count</query>
          <earliest>-24h@h</earliest>
          <latest>now</latest>
        </search>
        <option name="charting.chart">line</option>
        <option name="charting.drilldown">none</option>
      </chart>
    </panel>
  </row>
</form>
```

まずは、リンク元のダッシュボードの検索結果パネルの右上の「その他のアクション」から「ドリルダウンを編集」を選択します。

![WS000205.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/271ce2aa-146c-12d6-aef7-2e616d5c0379.jpeg "その他のアクション")

ドリルダウンエディターが開くので、以下の設定を入力します。

|項目|値|
|:-|:-|
|クリック時|ダッシュボードにリンク|
| App | Search & Reporting |
|ダッシュボード|リンク先ダッシュボード|
|新しいタブで開く|チェックを入れる|

![WS000206.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/95be1b1c-fa02-36db-aa30-37de7060a5ea.jpeg "ドリルダウンエディター")

これで表をクリックすると、リンク先ダッシュボードが新しいタブで開きます。

![WS000212.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/c73828bb-ae1a-5323-c293-c5c59589eb24.jpeg "リンク元2")

![WS000203.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/9a2520fb-b840-c8ac-1792-b3eb677722c7.jpeg "リンク先2")

ちなみに今回は表にリンクを付与していますが、他の棒グラフや折れ線グラフなどでもリンクを付与することが可能です。

### 2. ダッシュボードの入力

リンク時にダッシュボードの入力も指定できます。
ダッシュボードの入力を指定する場合は、ドリルダウンエディターの「詳細」⇒「パラメータ」で指定します。

![WS000207.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/e892b028-3064-63a7-1c3d-5c63e8cf1350.jpeg "詳細")

入力に検索結果のフィールド値を入れたい場合は、以下の形式で指定します。

```
form.<入力のトークン名>=$row.<フィールド名>$
```

今回は、`form.text_token=$row.index$`と指定します。

これで表をクリックすれば、リンク先のダッシュボードで入力にフィールド `index` の値が入ります。

![WS000208.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/7b43344a-c90a-042c-09bc-5ebe0ab54be5.jpeg "入力")

### 3. リンク先ダッシュボードの変更

クリック時を「カスタム URL にリンク」にすれば、リンク先のダッシュボードを可変にすることもできます。
フィールド値の指定方法は先ほどの入力と同じです。

今回は URL に `/app/search/$row.link$?form.text_token=$row.index$` と指定してみます。

![WS000209.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/7a2b59af-2990-eca2-f3d2-9ba11dd61997.jpeg "カスタムURL")

これで、 link フィールドに指定した ID のダッシュボードに移動できます。

### 4. サーチへのリンク

ダッシュボードではなく、個別のサーチへのリンクも設定可能です。
サーチへのリンクを付与する場合は、「クリック時」を「サーチにリンク」の「カスタム」にします。
フィールド値の指定方法は先ほどの入力と同じです。

今回はサーチ文字列に `index="$row.index$"` と指定してみましょう。

![WS000210.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/58b54d96-ae49-d04e-6ce5-12549692f148.jpeg "サーチにリンク")

これで表をクリックすると、サーチ画面に移動することができます。

![WS000211.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/4eb66cc1-0419-9e75-ed8b-eecba3d5adad.jpeg "サーチ")

### 5. その他のリンク

カスタム URL には `http://~`という形の絶対 URL も指定できるので、ダッシュボードやサーチ以外へのリンクも指定可能です。
例えば、 `https://www.bing.com/search?q=$row.index$` と指定してみましょう。

![WS000214.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/43fbc951-fe12-6009-2e7b-d31a96f297eb.jpeg "絶対URL")

これで表をクリックすると、 bing の検索画面に移動することができます。

![WS000215.JPG](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1465018/779bf24a-0f89-cecf-0c86-eae1affa081a.jpeg "bing")