Splunk:列出可以访问的索引和来源

Question

使用这个搜索命令

| eventcount summarize=false | dedup index | fields index

我得到了我在 Splunk 中有权访问的所有索引的列表。是否还有可能获得除此之外的另一列，其中索引的来源也可见？

编辑: 看来我找到了解决方案:

| tstats 计数 WHERE index=* sourcetype=* source=* by index, sourcetype, source |字段 - 计数

这会返回一个列表，其中包含索引、来源类型和来源的列。

Answer 1

如果 tstats 没有强制读取 sources 的权限，您可以使用 join 到您的原始查询inner 加入 index，以限制您可以看到的索引:

| tstats count WHERE index=* OR index=_* by index source 
| dedup index source | fields index source 
| join type=inner index [| eventcount summarize=false | dedup index | fields index]