splunk

Splunk sortの上限件数に注意

投稿日:

sortコマンドには上限件数があり、デフォルトでは10,000件になります。
そのため、10,001件以上のデータをデフォルト設定でsortすると10,001件目以降のデータが切り捨てられてしまいます。

特にsort後にwhereコマンドでデータを絞り込んでいる場合など、10,001件目以降のデータが切り捨てられているのに気が付かず、ハマるケースも散見されます。

回避方法

公式サイトにも掲載されていますが、コマンドのオプションで「0」をつけるだけで上限が無制限になります。

sort 0 -_time

このような仕様は、知っていれば簡単なのですが、知らないとハマって時間を消費しますので頭の片隅に入れておくとよいですね。







-splunk
-

Copyright© Tech Log , 2020 All Rights Reserved Powered by STINGER.