我有一个用例，我想根据条件将值设置为变量并在搜索命令中使用该变量。
例子：-
我想检查一下情况
if account_no=818
then var1="vpc-06b"
else var1="*"
I tried
...|eval val1=case(acc_no==818,"vpc-06b",acc_no!=818,"*")|search vpc_id=val1
但我没有收到任何事件。如果我正在尝试
...|search vpc_id=vpc-06b
然后，结果，我得到了预期的输出。
你有田地吗vpc_id提取？如果你进行搜索... | stats count by vpc_id，你得到的结果除以vpc_id?
我问这个的原因是你的第二次搜索不应该起作用，...|search vpc_id=vpc-06b。如果您提取了该字段，我期望的工作将是...|search vpc_id="vpc-06b"。如果第二种情况有效，那么你的逻辑是case陈述是正确的。
我假设该字段尚未正确提取。在这种情况下，我建议您尝试以下操作。我用rex命令强制提取字段，然后在比较中使用它。
... | rex field=_raw "vpc_id=(?<vpc_id>\S+)" | eval val1=case(acc_no==818,"vpc-06b",acc_no!=818,"*") | where vpc_id=val1
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
