Splunk - 知识管理
Splunk 知识管理是关于 Splunk Enterprise 实施的知识对象的维护。
以下是知识管理的主要功能 −
确保知识对象由组织中的正确人群共享和使用。
通过实施知识对象命名约定并淘汰重复或过时的对象来规范化事件数据。
监督改进搜索和数据透视性能的策略（报告加速、数据模型加速、摘要索引、批处理模式搜索）。
为数据透视用户构建数据模型。
知识对象
它是一个用于获取有关数据的特定信息的 Splunk 对象。创建知识对象后，您可以将其保密，也可以与其他用户共享。知识对象的示例包括：已保存的搜索、标签、字段提取、查找等。
知识对象的用途
使用 Splunk 软件时，会创建并保存知识对象。但它们可能包含重复的信息，或者可能无法被所有目标受众有效使用。为了解决此类问题，我们需要管理这些对象。这是通过对它们进行适当分类，然后使用适当的权限管理来处理它们来实现的。以下是各种知识对象的用途和分类 −
字段和字段提取
字段和字段提取是 Splunk 软件知识的第一层。从 Splunk 软件自动从 IT 数据中提取的字段有助于为原始数据赋予意义。手动提取的字段扩展并改进了这一层含义。
事件类型和事务
使用事件类型和事务将有趣的类似事件集组合在一起。事件类型将通过搜索发现的事件集组合在一起。事务是跨时间的概念相关事件的集合。
查找和工作流操作
查找和工作流操作是知识对象的类别，它们以各种方式扩展数据的实用性。字段查找使您能够从外部数据源（例如静态表（CSV 文件）或基于 Python 的命令）向数据添加字段。工作流操作支持数据中的字段与其他应用程序或 Web 资源之间的交互，例如对包含 IP 地址的字段进行 WHOIS 查找。
标签和别名
标签和别名用于管理和规范化字段信息集。您可以使用标签和别名将相关字段值集合组合在一起，并为提取的字段提供反映其身份不同方面的标签。例如，您可以通过为每个主机提供相同的标签，将来自特定位置（例如建筑物或城市）的主机集的事件组合在一起。
如果您有两个不同的源使用不同的字段名称来引用相同的数据，那么您可以使用别名（例如，将 clientip 别名为 ipaddress）来规范化数据。
数据模型
数据模型是一个或多个数据集的表示，它们驱动 Pivot 工具，使 Pivot 用户能够快速生成有用的表格、复杂的可视化和强大的报告，而无需与 Splunk 软件搜索语言交互。数据模型由完全了解其索引数据的格式和语义的知识经理设计。典型的数据模型利用其他知识对象类型。
我们将在后续章节中讨论这些知识对象的一些示例。
