Splunk에서 JSON 필드를 추출 할 수 없습니다.

Question

syslog 입력에서 JSON 필드를 추출하려고합니다.

나는 다음과 같은 라인을 추가했습니다 ./etc/system/default/props.conf에서

:

[mylogtype] 
SEDCMD-StripHeader = s/^[^{]+// 
INDEXED_EXTRACTIONS = json 
KV_MODE = none 
pulldown_type = true 

SEDCMD 작품; syslogs 헤더가 제거됩니다.

그러나 JSON 필드는 구문 분석되지 않습니다.

아이디어가 있으십니까?

Answer 1

해결되었습니다. props.conf에서 다음 구성을 사용하십시오.

[yourlogtype] 
SEDCMD-StripHeader = s/^[^{]+// 
KV_MODE = json 
pulldown_type = true