splunk - 使用 Rest API 搜索 Splunk，无需保存搜索

Question

我对使用 Splunk 非常陌生，有一个非常基本的问题。是否可以使用 REST API 来查询 Splunk，而不使用已保存的搜索？

谢谢。

Answer 1

您可以将搜索字符串指定为 export 的参数。端点并获取结果，而无需在服务器上保存搜索。

curl -ku admin:changeme https://localhost:8089/servicesNS/admin/search/search/jobs/export -d search="search index%3D_internal | head 3" -d output_mode=csv

output_mode 是一个可选参数。默认使用 xml，您还可以指定 json、csv 或 xml。

您还可以使用 Splunk SDKs 之一如果您想坚持自己选择的语言。 SDK 让您可以更轻松地与 Splunk 对话。

-尼拉吉。