5-2 チュートリアルデータのアップロード

トライアル環境が用意できたら、次はサーチするためのデータを取り込みます。 自前のログを使ってもよいのですが、学習の最初の一歩としては、 Splunk公式が提供するチュートリアルデータを使うのが便利です。

1. チュートリアルデータとは

チュートリアルデータは、Splunkの公式ドキュメント(Search Tutorial)で配布されている サンプルデータです。架空のオンラインストア「Buttercup Games」の Webアクセスログなどが含まれており、tutorialdata.zipという 1つのzipファイルにまとまっています。

Webサーバーのアクセスログのほか、商品情報などのデータも含まれます。 これらは学習用に作られた架空のデータなので、安心して自由に検索・集計できます。

2. データを取り込む手順

Splunk Web(ブラウザの管理画面)から、次の手順でアップロードします。

1. Splunk公式ドキュメントのSearch Tutorialページを開き、 チュートリアルデータtutorialdata.zipをダウンロードする。
2. Splunk Webにログインし、画面上部のメニューから 「設定 > データの追加」または「データの追加」を選ぶ。
3. データの取り込み方法として「ファイルのアップロード」を選び、 ダウンロードしたtutorialdata.zipを指定する。
4. ソースタイプの確認画面に進む。多くの場合、Splunkが自動で access_combined_wcookieなどのソースタイプを判定してくれる。
5. 保存先のインデックスを指定する。ここでは例としてmainを選ぶ。 (新しく専用のインデックスを作って指定してもよい)
6. 設定内容を確認して取り込みを実行し、完了メッセージを確認する。

tutorialdata.zipは解凍せず、zipファイルのままアップロードします。 Splunkがzipの中身を展開して取り込むため、こちらで解凍する必要はありません。

3. 取り込み結果を確認する

取り込みが完了したら、正しくデータが入ったかをサーチで確認しましょう。 サーチの詳しい使い方は次節で説明しますが、 まずは次のサーチを実行してみてください。

index=main | stats count

index=mainで先ほど指定したインデックスを対象にし、 stats countでイベントの総件数を数えています。 数千件規模の件数が返ってくれば、データは正しく取り込まれています。

何も表示されないときは、画面右側の時間範囲ピッカーを 「全時間(All time)」に広げてみてください。 チュートリアルデータの日時が現在と離れていると、 既定の「直近◯分」の範囲では表示されないことがあります。

4. まとめ

• チュートリアルデータは公式のSearch Tutorialで配布されるサンプル(tutorialdata.zip)
• 架空のストア「Buttercup Games」のWebアクセスログなどが含まれる
• 「データの追加 > ファイルのアップロード」からzipのまま取り込む
• インデックス(例: main)を指定し、index=main | stats countで件数を確認する