是什么原因导致Splunk查找表突然不显示行？

问题描述

我的一位新同事正在一个splunk应用程序中进行查找，并且似乎以某种方式使查找表不可用。他的任务包括创建和上传查询csv，创建查询定义以及创建自动查询。没有其他人在修改此Splunk应用。

现有查找开始不再填充在仪表板中。我查看了“数据集”，并且查找csv存在，并显示了从此问题开始之前的最后一次修改日期，但是单击时没有显示行。

我不知道该怎么办或如何解决。似乎数据仍然存在，因为修改日期尚未更改，但是以某种方式无法访问。

解决方法

您需要检查许多问题。

检查查阅CSV文件的权限以及查阅声明。查找文件和查找声明是在哪个应用程序中定义的，它是否可用于所有应用程序，或者仅可用于其中定义的应用程序？尝试输入| inputlookup filename.csv和| inputlookup lookupname来查看它们是否有数据，是否不返回任何数据，或者Splunk是否给出错误消息，指出找不到文件。他们有可能做了| outputloookup或| outputcsv并覆盖了已上传的数据吗？