SPLUNK 简单查询语句| lookup使用

Here is offical document: http://docs.splunk.com/Documentation/SplunkCloud/7.0.2/Search/GetstartedwithSearch

| inputlookup all_w 
| search slavename="MAC-BUILD-GIT*"
| join type=outer slavename
    [ search index="acadci_mp_prod" category=taskEnded slavename=* 
    | stats count by slavename 
    ]
| eval count=if(isnull(count), "0", count)
| sort -count

上面这个SPL类似于SQL的全连接, type=outer

inputlookup lookup_table_name: 相当于 select * from lookup_table_name 

| search slavename="MAC-BUILD-GIT*"  相当于 where slavename = "MAC-BUILD-GIT*" 

    [ search index="acadci_mp_prod" category=taskEnded slavename=* 
    | stats count by slavename 
    ] 

是个子查询

eval可以对现有的field计算 变形等 生成新的filed

sort 用来排序

Note： type= inner left outer 官方说left 与outer是一样的 ， 但实际并不一样. default是left.

LOOKUP使用的时候需要某个field名与要查询的表相同.