使用splunk查询提取字段

Question

如何使用splunk查询从日志中将所需数据提取到自定义字段？

我尝试使用rex命令从登录中提取某些部分数据到一些自定义字段，但我从未在输出中看到splunk显示所有输出字段的那些查询。

例如：如果以下是日志中的数据

student : {"firstName":"Barry", "lastName":"Allen", "city":"Central City", "address":"xyz"}
student : {"firstName":"Oliver", "lastName":"Queen", "city":"Starling City", "address":"abc"}
student : {"firstName":"Wally", "lastName":"West", "city":"Central City", "address":"mno"}

我想将所有城市提取到该领域＆＃34; StudentCity＆＃34;。是否可以在输出中仅显示学生姓名和城市的列表？

我正在尝试以下

"student " | rex field=_raw "StudentCity:(?<city>\"city\"\:.*)"

我希望这个以StudentCity作为列名输出一个表。如果我能得到这样的输出，我可以运行其他统计数据，例如计算属于特定城市的学生等。

请建议。

Answer 1

使用此正则表达式：

\"city\"\:\"(?<city>[^"]+)\"