Splunk字段-已损坏

Question

我本打算在Splunk论坛上问这个问题，但由于某种原因，经过几个小时和多次尝试后，我还没有收到验证电子邮件，所以我想我应该在这里试试。

我从.csv数据源创建了一个搜索，并保存了该搜索的报告。然后我选择了我想要的字段。截图：

​

​

这很好用。然后，我将这个报告发送到仪表板，这样我就可以绘制一些漂亮的图形，所有字段都消失了，我没有映射字段的选项。

​

​

(编辑了一些数据)

正如您所看到的，没有使用我在报告中选择的字段的选项，即使这是该报告的导入。我尝试手动映射一个字段，即使这样也只在Reports视图中显示，而不在任何仪表板/面板中显示。我是不是漏掉了什么？

Answer 1

我建议您转到报告并选择"Add to dashboard“选项。将报告和仪表板保存在同一个应用程序中。“永久”字段在应用程序的上下文中定义。“临时”字段(例如，由rex命令创建)仅存在于报告上下文中。