Splunk：如何使用正则表达式提取字段？像splunk搜索中的rex一样

Question

我想从我在splunk搜索中找到的下面的字符串中提取Primary和StandyBy数据库名称。

Jul 20 14:43:31 XXXXXXXX GuptaA GuptaA - 主数据库GuptaC - （*）物理备用数据库GuptaB - 物理备用数据库。

Jul 20 14:43:31 XXXXXXXX KumarA KumarA - 主数据库KumarC - （*）物理备用数据库KumarD - 物理备用数据库 - 物理备用数据库KumarE - 物理备用数据库

主要数据库：GuptaA SecondaryDBs：GuptaC，GuptaB

我想展示一张包含以下细节的表格。

Primary DB StandyByDB

GuptaA GuptaC，GuptaB KumarA KumarC，KumarD，KumarE

使用splunk搜索的任何建议？

谢谢！

Answer 1

rex field=_raw "Primary Database (?<primary>\S+) .* standby database (?<standby>\S+)"
| table primary standby