Splunk フィールドのフォーマットを変更する

フィールドの文字列変換や数値変換、日付操作したいときに使うコマンド（fieldformat）と関数（tostring,tonumber）を紹介します。
フォーマット系の関数は沢山あるので、少しづつ追加していく予定です。

フィールド変換コマンド

fieldformat

fieldformatコマンドを使います。
（蛇足ですが、evalも同じように使えます。）

| makeresults
| fieldformat date1 = strftime(now(),"%Y-%m-%d %H:%M:%S")

結果

関数

tostring(X,Y)

文字列に変換します。
Yは”commas”,”hex”,”duration”の3種類あるようです。
（公式ドキュメント）
数値フィールドと文字列フィールドを比較する際にもよく使います。

| makeresults
| eval date0 = now()
| fieldformat date1 = tostring(date0,"commas")
| fieldformat date2 = tostring(date0,"hex")
| fieldformat date3 = tostring(date0,"duration")

結果

tonumber(NUMSTR,BASE)

数値に変換します。
BASEは2進数か16進数を選べます。
デフォルトは10進数です。

| makeresults
| eval date0 = "0123456"
| fieldformat date1 = tonumber(date0)
| fieldformat date2 = tonumber("101011",2)
| fieldformat date3 = tonumber("0A4",16)

結果

まとめ

フォーマット系の関数は沢山あるので、よく使う関数から徐々に追記していきたいと思います。（公式ドキュメントはこちら）