如何在Splunk中将xml日志转换为表格输出

Question

我是splunk的新手，我正在尝试将xml日志数据导入splunk并创建报告。
我有xml数据，这是馈送到splunk服务器。下面是我拥有的数据格式

<str name=size>3.32mb</str>

我想提取这些细节，并将其转换为表格格式。像下面的Size | 3.32mb

我读了一些关于xmlkv，但我认为它适用于xml数据，如<size>3.32mb</size>，但我不确定这将如何为我的要求工作。

有没有人可以帮助我理解这一点，并指导我实现这一目标。

提前感谢。

Answer 1

假设您的xml数据位于名为"xml"的字段中，您可以使用以下命令提取您想要的内容:

xpath outfield=name field=xml "//str/@name" | spath input=xml output=sizeval path=str | fields name, sizeval

请参阅splunk关于xpath和spath的帮助-这些示例足以指导您。