如何使仪表板和splunk查询

Question

我是splunk的新手，仅具有查询的基本知识。我需要创建一个仪表板，该仪表板将计算每个服务器的策略总数。我有一个示例数据，它显示了不同的主机和策略。

示例数据：

我想生成一个这样的仪表板：

我的代码是这样的：

eval search if("$Host$"="AAA") | stats count(Policy) as "AAA" by Policy |
eval search if("$Host$"="BBB") | stats count(Policy) as "BBB" by Policy |
eval search if("$Host$"="CCC") | stats count(Policy) as "CCC" by Policy |

Answer 1

stats是一个过滤命令，因此主机值将丢失到后续的eval语句中。请尝试以下查询：

... | stats count by Host, Policy | addcoltotals