splunk - 如何在 Splunk 中解析 JSON 指标数组

Question

我从 API 收到以下格式的 JSON:

[
    {
    "scId": "000DD2",
    "sensorId": 2,
    "metrics": [
        {
            "s": 5414,
            "dateTime": "2018-02-02T13:03:30+01:00"
        },
        {
            "s": 5526,
            "dateTime": "2018-02-02T13:04:56+01:00"
        },
        {
            "s": 5631,
            "dateTime": "2018-02-02T13:06:22+01:00"
        }
}, .... ]

目前正在尝试在线性图表上显示这些指标，日期时间为 X 轴，“s”为 Y。

我使用以下搜索查询:

index="main" source="rest://test3" | spath input=metrics{}.s| mvexpand metrics{}.s
| mvexpand metrics{}.dateTime | rename metrics{}.s as s 
| rename metrics{}.dateTime as dateTime| table s,dateTime

我收到以下格式的数据，这不适用于线性图表。关键是 - 如何正确解析 JSON 以应用来自 dateTime 的日期时间JSON 中的字段到 _time在 Splunk 中。

Query results

Answer 1

@Max Zhylochkin，

您可以尝试以下搜索吗？

index="main" source="rest://test3" 
| spath input=metrics{}.s 
| mvexpand metrics{}.s 
| mvexpand metrics{}.dateTime 
| rename metrics{}.s as s 
| rename metrics{}.dateTime as dateTime 
| table s,dateTime
| eval _time = strptime(dateTime,"%Y-%m-%dT%H:%M:%S.%3N")

谢谢