如何配置Python脚本来更改Splunk电子邮件警报的正文？

Question

我有一个Splunk查询，它返回几个JSON结果，我想保存为警报，定期发送电子邮件给人员列表。

我创建了一个Python脚本，它将一些JSONS作为输入，类似于Splunk日志中的JSONS并美化结果。

如何配置Splunk警报，以便用户通过电子邮件获得美化结果？是否可以配置Splunk在查询结果上运行Python脚本并将美化输出放在电子邮件正文中？我应该在某个地方上传脚本吗？

Answer 1

如果您的意思是从搜索行运行脚本，则会回答您的问题： http://docs.splunk.com/Documentation/Splunk/6.3.3/SearchReference/Script

（注意：如果您运行的是早于6.3.3的版本，请选择正确版本的Splunk）

Answer 2

很好地说明@IvanStarostin

脚本应始终位于：$ SPLUNK_HOME / bin / scripts或$ SPLUNK_HOME / etc // bin / scripts（如果是应用程序）。 当警报触发时，您可以按以下方式选择要运行的脚本：

运行所需的搜索，然后单击“另存为警报”。配置搜索运行的频率以及触发警报的条件（例如，当结果等于0时）。

然后从“添加操作”菜单中选择“运行脚本”。输入要运行的脚本的文件名，然后进行设置！ 您可以在查询后通过管道来测试搜索栏中的脚本：

.... | script commandname