レポートとダッシュボード

このページの内容

1. サーチを保存して再利用する

同じサーチを繰り返し実行したい場合、毎回入力し直す必要はありません。 Splunkでは、実行したサーチを保存して再利用できます。サーチ結果画面の右上にある「Save As(名前を付けて保存)」メニューから、用途に応じた保存先を選びます。

SPL ― 保存対象にするサーチの例

index=web status>=500 | timechart span=1h count by host

このような「よく使う集計サーチ」を保存しておけば、次回からはクリック一つで同じ集計を呼び出せるようになります。

Save Asには、Report(レポート)、Dashboard Panel(ダッシュボードパネル)、 Alert(アラート)、Event Typeなどの選択肢があります。本節ではレポートとダッシュボードを扱います。

レポートは、名前を付けて保存した「サーチそのもの」です。「Save As > Report」を選び、タイトルや説明を入力すると、あとからReportsメニューの一覧から呼び出して再実行できます。

statsやtimechartで集計したサーチを保存する際は、表・折れ線・棒グラフといった可視化の種類もあわせて記憶させられます。レポートを開けば、保存したときと同じグラフがそのまま再現されます。

ダッシュボードは、複数のグラフや表(＝パネル)を1枚の画面に並べたものです。「Save As > Dashboard Panel」を選ぶと、今のサーチを1つのパネルとして、新規または既存のダッシュボードに追加できます。

たとえば「ステータス別アクセス数の推移」「エラー上位ホスト」「合計転送量」など、関連するサーチをいくつも1枚にまとめると、システム全体の状態を1画面で確認できる監視画面になります。レポートは「1つのサーチ」、ダッシュボードは「複数パネルの集合」です。

ダッシュボードの本格的な作り方(パネルの追加、レイアウト、ドリルダウンなど)は第4章「可視化とダッシュボードの基礎」で詳しく解説します。ここでは「サーチはダッシュボードの部品になる」という関係だけ押さえておけば十分です。

保存したレポートやダッシュボードには権限(Permissions)が設定されています。作った直後は「Private(自分だけ)」になっていることが多く、そのままでは他のユーザーからは見えません。

チームで共有したいときは、権限設定からAppやGlobalに変更し、ロールごとに「読み取り(Read)」「書き込み(Write)」を割り当てます。

共有範囲を広げると多くの人に見えるようになりますが、 Write権限を安易に与えると、他の人が定義を書き換えてしまうこともあります。共有時は権限を必要最小限にとどめるのが安全です。