如何从 Splunk 中的 JSON 字符串中提取字段

Question

搜索后在 Splunk 中我得到以下结果 -

FINISH OnDemandModel - Model: Application:GVAP RequestID:test_manifest_0003 Project:AMPS EMRid:j-XHFRN0A4M3QQ status:success

我想将 Application、RequestID、Project、EMRid 和 status 等字段提取为列，并将相应的值提取为这些列的值。

我是 Splunk 新手，不确定如何使用 spath 或其他搜索命令。

Answer 1

使用 rex command:

<search>
rex field=yourfield "Application:(?<application>\w+)\sRequestID:(?<requestid>\w+)\sProject:(?<project>\w+)\sEMRid:(?<emrid>\w+)\sstatus:(?<status>\w+)"

在 regex101.com

微调您的正则表达式

如何从 Splunk 中的 JSON 字符串中提取字段

How to extract fields from JSON string in Splunk

splunk

splunk-query