【Splunk】renameはフィールド名を変更する
renameコマンドの説明を書きます。
以下の記事の派生記事です。
canada-lemon.hatenablog.com
renameはフィールドをリネームします。
構文例
| rename <リネームしたいフィールド名> as <新しいフィールド名>
使用例1：フィールド名を日本語にする
index=_internal | table _time host | rename host as ホスト名
原則として、Splunkのフィールド名は半角英数字のほうが扱いやすいです。
フィールド名はギリギリまで半角英数字で処理し、最後の行で日本語にrenameするのがおすすめです。
備考1：新しいフィールド名に既存の名前を指定すると上書きしてしまう
| rename host as host_nameとリネームしたとき、host_nameというフィールドが既に存在していたら、それを上書きしてしまいます。
このとき警告やエラーは出ないので注意しましょう。
以下のSPLでは_rawフィールドを上書きしています。
index=_internal | table _time host _raw | rename host as _raw
renameの説明は以上です。
シンプルなコマンドなので書くこともシンプルでした。
ここまで読んでいただき、ありがとうございました。
Splunk頻出SPLシリーズ
