Splunk 7.3.1.1にSplunk AppのLookupFileEditorをインストールする

はじめに

• Splunkには検索時にマスターファイルを参照（ルックアップ）して結果を表示する機能がある．そのlookupで使われる ファイルは，Splunk管理者がアップロードすることになるのだけれど，たびたぶLookupファイルが変更されると管理者の負担 が大きい．

• それを解決するために，Splunkの拡張機能である，Splunk Appで提供されているLookupFile Editorを入れてみる．
• また，今回の手順では，ルックアップファイルの登録も行なっている．

Lookup File Editorの入手

• Lookup File Editorは，以下のURLから無料でダウンロードできる．

Lookup File Editor

https://splunkbase.splunk.com/app/1724/

• 無料の会員登録が必要．

ダウンロードしたファイルを登録

• Appの歯車アイコンを選択．

• あとはファイルを選択してアップロード．

• インストールできたことが確認できた．

ルックアップファイルを登録

• Lookup File Editorを入れたけれど，まだlookupファイルを入れてないので，登録する．
• 今回は，WikipediaのColdplayのページがら取り出した，曲目リストを登録する．

• [設定]から[ルックアップ]を選択．

• [ルックアップファイル テーブル ファイル]の[新規追加]を選択．

• 今回は，WikipediaのColdPlayの楽曲リストをコピペ．

https://en.wikipedia.org/wiki/List_of_songs_recorded_by_Coldplay

• CSVになっているのでテキストエディタ不要部分を削って加工．

• ファイルを選択して，名前をつけて登録．

• ルックアップファイルが登録されたことがわかる．ただし，権限が自分にしかない．

ルックアップファイルの権限付与

• ルックアップファイルをアップロードした本人にしか権限がないので，みんなで利用できるように権限付与する．

• 初期状態では[プライベート保管]になっている．

• [すべてのApp]を選択し，権限ロールは読み書きを付与する．

• 権限付与が確認できた．

Lookup File Editorを使ってみる

• ルックアップファイルも追加したし，インストールしたLookup File Editorを使ってみる．

• Splunkの左上のアイコンをクリックすると，ホーム画面に戻り，そこにLookup Fileが追加されている．

• 開いてみると，登録されているルックアップファイル一覧が表示され，今回登録したColdplayの楽曲リストも出て来た．

• Nameの列をクリック．

• 表形式でエディタ画面が表示された．全データが表示されるようなので，非常に大きなルックアップファイルだとWebブラウザのメ モリ消費量が大変そうな気がする．