Splunk 知识管理

Splunk 知识管理是关于维护 Splunk Enterprise 实施的知识对象。

以下是 知识管理的主要特点 ：

知识对象

它是一个 Splunk 对象，用于获取有关你的数据的特定信息。创建知识对象时，你可以将其保密，也可以与其他用户共享。知识对象的例子有：保存的搜索、标签、字段提取、查找等。

在使用 Splunk 软件时，知识对象被创建和保存。但它们可能包含重复的信息，或者它们可能无法被所有目标受众有效使用。为了解决这些问题，我们需要管理这些对象。这是通过正确分类它们然后使用适当的权限管理来处理它们来完成的。下面是各种知识对象的用途和分类：

字段和字段提取是 Splunk 软件知识的第一层。从 IT 数据中自动从 Splunk 软件中提取的字段有助于为原始数据带来意义。手动提取的字段扩展并改进了这一层含义。

使用事件类型和事务将有趣的相似事件集组合在一起。事件类型将通过搜索发现的事件集组合在一起。事务是跨越时间的概念相关事件的集合。

查找和工作流操作是知识对象的类别，它们以各种方式扩展数据的有用性。字段查找使你能够从外部数据源(例如静态表(CSV 文件)或基于 Python 的命令)向数据添加字段。工作流操作支持数据中的字段与其他应用程序或 Web 资源之间的交互，例如对包含 IP 地址的字段进行 WHOIS 查找。

标签和别名用于管理和规范化字段信息集。你可以使用标签和别名将相关字段值组合在一起，并提供提取的字段标签以反映其身份的不同方面。例如，你可以通过为每个主机提供相同的标签，将来自特定位置(例如建筑物或城市)的一组主机中的事件分组在一起。

如果你有两个不同的源使用不同的字段名称来引用相同的数据，那么你可以使用别名来规范化你的数据(例如，通过将 clientip 别名为 ipaddress)。

数据模型是一个或多个数据集的表示，它们驱动 Pivot 工具，使 Pivot 用户能够快速生成有用的表格、复杂的可视化和强大的报告，而无需与 Splunk 软件搜索语言交互。数据模型由完全理解其索引数据的格式和语义的知识管理者设计。典型的数据模型利用其他知识对象类型。

我们将在后续章节中讨论这些知识对象的一些示例。