以下のような日本語を含むタイムスタンプをSplunkに認識させるにはどのような設定が必要ですか?
金 3月 22 11:24:40 2013: Total time in the report period (60.000671s): 0.048412s
金 3月 22 11:25:40 2013: Total time in the report period (59.999630s): 0.000000s
金 3月 22 11:26:40 2013: Total time in the report period (59.999813s): 0.000000s
データプレビューのページで、
・タイムスタンプの直前パターン
・タイムスタンプのフォーマット
を指定することで認識させることができます。
TIME_FORMAT = %m月 %d %H:%M:%S
TIME_PREFIX = ^\W\s
実際のサーチもCLIからですが、以下のように認識されます。
別の方法ですが、datetime.xmlを用いて日付を認識させることが可能となります。
手順としては、
1.$SPLUNK_HOME/etcのdatetime.xmlをカスタマイズもしくは別の定義ファイルを作成
2.別の定義ファイルを作成した場合には、データ入力の設定時にDATETIME_CONFIGパラメータで指定。
となります。
ご参考
http://docs.splunk.com/Documentation/Splunk/latest/Data/Configuretimestamprecognition
回答ありがとうございます。
無事、認識させることができました!
データプレビューのページで、
・タイムスタンプの直前パターン
・タイムスタンプのフォーマット
を指定することで認識させることができます。
TIME_FORMAT = %m月 %d %H:%M:%S
TIME_PREFIX = ^\W\s
実際のサーチもCLIからですが、以下のように認識されます。
別の方法ですが、datetime.xmlを用いて日付を認識させることが可能となります。
手順としては、
1.$SPLUNK_HOME/etcのdatetime.xmlをカスタマイズもしくは別の定義ファイルを作成
2.別の定義ファイルを作成した場合には、データ入力の設定時にDATETIME_CONFIGパラメータで指定。
となります。
ご参考
http://docs.splunk.com/Documentation/Splunk/latest/Data/Configuretimestamprecognition
サーチはCLIではなくて、GUIからでした…失礼しました