Splunk ダッシュボードでクリック時にトークンを設定してドリルダウンする

ダッシュボードのパネル上のデータをクリックするとドリルダウンして、別パネルに選択したデータをする実装を紹介します。
ドリルダウン機能は分析に必須なので重宝する機能です。

サンプルデータ

以下のサーチ分で２つパネルを作成します。
２つの違いは12行目の「| where Date = “$Date$” AND Item = “$Item$”」のみです。

code

1つ目のパネル

| makeresults | eval Date = strftime(now() -(3600*24*0),"%Y-%m-%d"),Col_A = 1,Col_B = 10,Item = "AAA" | fields - _time
| append [| makeresults | eval Date = strftime(now() -(3600*24*3),"%Y-%m-%d"),Col_A = 8,Col_B = 80,Item = "BBB"   | fields - _time]
| append [| makeresults | eval Date = strftime(now() -(3600*24*1),"%Y-%m-%d"),Col_A = 5,Col_B = 30,Item = "AAA"   | fields - _time]
| append [| makeresults | eval Date = strftime(now() -(3600*24*1),"%Y-%m-%d"),Col_A = 2,Col_B = 20,Item = "BBB"   | fields - _time]
| append [| makeresults | eval Date = strftime(now() -(3600*24*0),"%Y-%m-%d"),Col_A = 6,Col_B = 20,Item = "AAA"   | fields - _time]
| append [| makeresults | eval Date = strftime(now() -(3600*24*3),"%Y-%m-%d"),Col_A = 4,Col_B = 20,Item = "BBB"   | fields - _time]
| append [| makeresults | eval Date = strftime(now() -(3600*24*2),"%Y-%m-%d"),Col_A = 3,Col_B = 40,Item = "BBB"   | fields - _time]
| fields Date Item Col_A Col_B
| sort by - Date Item
| streamstats sum(Col_A) by Date Item
| eventstats sum(Col_A) as totalCol_A by Date Item

2つ目のパネル

| makeresults | eval Date = strftime(now() -(3600*24*0),"%Y-%m-%d"),Col_A = 1,Col_B = 10,Item = "AAA" | fields - _time
| append [| makeresults | eval Date = strftime(now() -(3600*24*3),"%Y-%m-%d"),Col_A = 8,Col_B = 80,Item = "BBB"   | fields - _time]
| append [| makeresults | eval Date = strftime(now() -(3600*24*1),"%Y-%m-%d"),Col_A = 5,Col_B = 30,Item = "AAA"   | fields - _time]
| append [| makeresults | eval Date = strftime(now() -(3600*24*1),"%Y-%m-%d"),Col_A = 2,Col_B = 20,Item = "BBB"   | fields - _time]
| append [| makeresults | eval Date = strftime(now() -(3600*24*0),"%Y-%m-%d"),Col_A = 6,Col_B = 20,Item = "AAA"   | fields - _time]
| append [| makeresults | eval Date = strftime(now() -(3600*24*3),"%Y-%m-%d"),Col_A = 4,Col_B = 20,Item = "BBB"   | fields - _time]
| append [| makeresults | eval Date = strftime(now() -(3600*24*2),"%Y-%m-%d"),Col_A = 3,Col_B = 40,Item = "BBB"   | fields - _time]
| fields Date Item Col_A Col_B
| sort by - Date Item
| streamstats sum(Col_A) by Date Item
| eventstats sum(Col_A) as totalCol_A by Date Item
| where Date = "$Date$" AND Item = "$Item$"

結果

2つ目のパネル(Select Data)は「サーチ入力待ち」になります。

1つ目のパネル（Original Data)のをクリックすると、クリックした行のみ抽出されます。

3行目をクリックした場合

6行目をクリックした場合

Point

ドリルダウンの設定

パネルの設定ボタンから「Edit Drilldown」を選択

On Clickの設定で「このダッシュボード上のトークンの管理」を選択

トークン名と設定式を入力。
今回は「Date」と「Item」トークンを設定

トークン式の一覧（よく使うもの）です。
今回は「$row.<fieldname>$」を使ってます。

トークン式	設定内容
$click.name$	テーブルの一番左フィールド（列）名
$click.name2$	クリックされたフィールド（列）名
$click.value$	テーブルの一番左フィールド（列）値
$click.value2$	クリックされたフィールド（列）値
$row.<fieldname>$	クリックされた行の<fieldname>の値

パネル側の実装

where文で1つ目のパネルで設定するトークンを指定して入力待ちにします。

| where Date = "$Date$" AND Item = "$Item$"

パネルのヘッダにもトークンを表示させて、設定されている値がわかるようにします。

Select Data (Set Token Date=$Date$ ,Item=$Item$)

結果

まとめ

今回は同一ダッシュボード内でドリルダウンしましたが、別ダッシュボードに遷移させることもできるので、ドリルダウン機能を使うことで、情報過多にならないようにダッシュボードを整理しましょう。