仪表板 table: 获取子查询的计数

Question

我已经为此苦苦挣扎了几个小时。

我正在尝试构建一个简单的 table，它将具有以下内容：

包含 ID 和日期的搜索结果
使用 1 中搜索 id 的子查询计数

我有两个工作查询可以单独实现我想要的，但是当我尝试使用连接时，我丢失了 #2 的查询数据。

查询 #1：index= source="" "" AND parentId=1574 |字段 childId，日期 -> returns 333, 查询 #2：index= source="" "" AND childId=333 |图表计数为 childCount |字段 childCount -> returns 计数，例如 4

当我尝试使用这样的方法连接两者时，我数不清了：

index=<redacted> source="<redacted" "<some query text>" AND 
    parentId=1574 
| fields childId, date
| join type=left childId [ 
    search index=<redacted> source="<redacted>" "<some query text>" AND 
    childId=333 | chart count as childCount | fields childCount
]
| table artifactId, childCount, date

我也尝试过外连接、追加等，但都无济于事。计数也可以为 0。

如有任何帮助，我们将不胜感激，

谢谢！

Answer 1

第二次搜索的数据丢失，因为搜索没有 return join 期望的 'childId' 字段。它 return 仅是 fields 命令中指定的 'childCount' 字段。试试 fields childId childCount.

仪表板 table: 获取子查询的计数

Dashboard table: get count of subquery

splunk

splunk-query