レポートとダッシュボード

このページの内容

レポートとは
ダッシュボードとは
ダッシュボードの視覚化の種類
パネル/ダッシュボード表示のためのデータフォーマット
まとめ

本章では、レポートとダッシュボードの基本機能について説明します。

1. レポートとは

レポートとは「後で再利用できるように保存されたサーチ定義」のことです。 Splunkにはサーチ結果を保存し、視覚化してパネル/ダッシュボードとして表示する機能がありますが、これ自体はレポートではありません。「サーチを保存し、後から手動実行/定期実行できるようにする機能」がレポートです。

またレポートが実行された後はに、何らかのアクション(メール送信/Webhook/自作スクリプトなど)を実行するよう設定することも可能です。レポート機能を使うことによって、ログに含まれるシステムの利用データやパフォーマンス/キャパシティ情報を集計し、CSV化してメール送信したりWebhookによってチャットツールにポストすることが可能です。

レポートは必要な時に手動で実行することも、定期実行することもできます。定期実行するよう設定されたレポートを「保存されたレポート」または「スケジュールドレポート」と呼びます。

スケジュールドレポートについては、後の章で再度解説します。

2. ダッシュボードとは

ダッシュボードとは「サーチ結果を視覚化したもの(パネル)の集合」です。パネルは、サーチ結果を図表やグラフとして視覚化したものです。パネルをまとめて一つの画面で表示したものがダッシュボードです。

flowchart TB
  subgraph dash["ダッシュボード"]
    direction TB
    subgraph r1[" "]
      direction LR
      subgraph p1["パネル①：テーブル"]
        t1["host　　　count<br/>web01　　1,240<br/>web02　　　980"]
      end
      subgraph p2["パネル②：チャート（棒グラフ）"]
        t2["<span style='font-size:1.6em'>▂　▅　▇　▃</span>"]
      end
    end
    subgraph r2[" "]
      direction LR
      subgraph p3["パネル③：単一値"]
        t3["<span style='font-size:2em'>1,204</span><br/>エラー件数"]
      end
      subgraph p4["パネル④：チャート（円グラフ）"]
        t4["<span style='font-size:1.8em'>◕</span><br/>割合を表示"]
      end
    end
  end
  style r1 fill:none,stroke:none
  style r2 fill:none,stroke:none
  style t1 fill:#ffffff,stroke:#333333
  style t2 fill:#ffffff,stroke:#333333
  style t3 fill:#ffffff,stroke:#333333
  style t4 fill:#ffffff,stroke:#333333
  style dash fill:#ECECEC,stroke:#333333
  style p1 fill:#F7F7F7,stroke:#666666
  style p2 fill:#F7F7F7,stroke:#666666
  style p3 fill:#F7F7F7,stroke:#666666
  style p4 fill:#F7F7F7,stroke:#666666

ダッシュボードとパネルの関係

ダッシュボードの作成形式には、Classic DashboardとDashboard Studioの2種類があります。

今後機能追加されていくのはDashboard Studioだと言われており、Classic DashboardタイプからDashboard Studioタイプにはすぐに変換することが可能です。

ダッシュボードタイプ	フォーマット	特徴
Classic Dashboard	XML	従来の形式。シンプルで初心者でも使いやすい
Dashboard Studio	JSON	新しい形式で、よりリッチでオブジェクトの位置を柔軟に変更したりすることが可能

またSplunkのパネルとダッシュボードは、ファイルとしてエクスポートすることが可能です。エクスポート可能な形式は以下があります。

対象	エクスポート形式
パネル	PNG/CSV
ダッシュボード	XML(Classicのみ)/JSON(Studioのみ)/PDF

3. ダッシュボードの視覚化の種類

Splunkのダッシュボードの視覚化(Visualization)には非常に多くの種類があります。ここでは主な種類を紹介します。

イベントリスト：デフォルトの視覚化。サーチによって得られたイベントを順に表示する。
テーブル：特定のフィールドをヘッダーとして、テーブルフォーマットで表示する。
チャート：円グラフや線/棒グラフなどで表示する。
単一値(Single Value)：重要な指標について、最も直近の値やある時間内の集計値などを表示する。
ゲージ：温度など、指定した範囲内でデータがどの位置にあるかを表現する。
マップ：地図上にデータをマッピングし、地域別の分布をわかりやすくする。
カスタム：その他、ユーザーで視覚化をカスタマイズする。

ダッシュボードの視覚化の種類については公式ドキュメントを参照してください。 https://docs.splunk.com/Documentation/Splunk/latest/Viz/Visualizationreference

4. パネル/ダッシュボード表示のためのデータフォーマット

パネル/ダッシュボード表示を行う上では、認識しておかなければいけないことがあります。それは、テーブルやチャートなど、視覚化のタイプによっては、視覚化タイプに合わせたデータフォーマットにサーチ結果を変換する必要がある、ということです。

デフォルトのデータフォーマットはイベントリスト形式です。サーチを実行した後、イベントの一覧が順に表示されている出力形式です。

これに対し、テーブル/チャートによる視覚化を行う場合、イベントリスト形式からデータテーブル形式にサーチ結果を変換する必要があります。このためには行と列を定義する必要があります。この時に使用するコマンドがtableやchartコマンドです。

具体的なやり方やコマンド例については後の章で解説しますが、ここでは、パネル/ダッシュボードによる視覚化を行う際は、出力形式の変換が必要である、ということを覚えておいてください。

5. まとめ

レポートは「後で再利用できるように保存されたサーチ定義」。手動実行/定期実行どちらにでも利用可能。
定期実行するよう設定したレポートを「保存されたレポート」または「スケジュールドレポート」と呼ぶ
ダッシュボードは「サーチ結果を視覚化したもの(パネル)の集合」
ダッシュボードにはClassic Dashboard(XML)とDashboard Studio(JSON)の2種類がある。どちらも一長一短がある
視覚化にはイベントリスト/テーブル/チャート/単一値/ゲージ/マップ/カスタムなど多くの種類がある
パネル/ダッシュボードを作成する場合は、視覚化タイプに合わせたサーチ結果に変換することが必要

4-5 レポートとダッシュボード