Splunk 7.3.1.1にSplunk AppのLookupFileEditorをインストールする

Splunk 7.3.1.1にSplunk AppのLookupFileEditorをインストールする

はじめに

　Splunkには検索時にマスターファイルを参照（ルックアップ）して結果を表示する機能がある．そのlookupで使われるファイルは，Splunk管理者がアップロードすることになるのだけれど，たびたぶLookupファイルが変更されると管理者の負担が大きい．

　それを解決するために，Splunkの拡張機能である，Splunk Appで提供されているLookupFile Editorを入れてみる． 　また，今回の手順では，ルックアップファイルの登録も行なっている．

Lookup File Editorの入手

　Lookup File Editorは，以下のURLから無料でダウンロードできる．

Lookup File Editor https://splunkbase.splunk.com/app/1724/

　無料の会員登録が必要．

ダウンロードしたファイルを登録

　Appの歯車アイコンを選択．

　あとはファイルを選択してアップロード．

　インストールできたことが確認できた．

ルックアップファイルを登録

　Lookup File Editorを入れたけれど，まだlookupファイルを入れてないので，登録する． 　今回は，WikipediaのColdplayのページがら取り出した，曲目リストを登録する．

　[設定]から[ルックアップ]を選択．

　[ルックアップファイル テーブル ファイル]の[新規追加]を選択．

　今回は，WikipediaのColdPlayの楽曲リストをコピペ．

https://en.wikipedia.org/wiki/List_of_songs_recorded_by_Coldplay

　CSVになっているのでテキストエディタ不要部分を削って加工．

　ファイルを選択して，名前をつけて登録．

　ルックアップファイルが登録されたことがわかる．ただし，権限が自分にしかない．

ルックアップファイルの権限付与

　ルックアップファイルをアップロードした本人にしか権限がないので，みんなで利用できるように権限付与する．

　初期状態では[プライベート保管]になっている．

　[すべてのApp]を選択し，権限ロールは読み書きを付与する．

　権限付与が確認できた．

Lookup File Editorを使ってみる

　ルックアップファイルも追加したし，インストールしたLookup File Editorを使ってみる．

　Splunkの左上のアイコンをクリックすると，ホーム画面に戻り，そこにLookup Fileが追加されている．

　開いてみると，登録されているルックアップファイル一覧が表示され，今回登録したColdplayの楽曲リストも出て来た．

　Nameの列をクリック．

　表形式でエディタ画面が表示された．全データが表示されるようなので，非常に大きなルックアップファイルだとWebブラウザのメモリ消費量が大変そうな気がする．