カスタムサーチコマンドの作り方（Splunk）

#１．カスタムサーチコマンドについて
　Splunkではあらかじめ用意されているサーチコマンド以外に、自分で作成したサーチコマンド(カスタムサーチコマンド)を実行することも可能です。これはPythonを使って記述しますから、Splunkのサーチコマンドだけでは難しい処理も比較的簡単に行えたりします。

#２．作成方法
　Splunk上で”Hello World"と表示させるサーチコマンドを作成してみます。

###①Appの作成
　Splunkにログインし、Appの作成画面で名前を"Hello World"、フォルダ名を"hello_world"として新規作成します。

###②実行ファイルの作成
　/Applications/Splunk/etc/apps/hello_world/bin/配下に以下のファイルを配置します。

hello_world.py

print 'title'
print 'Hello World'

###③設定ファイルの作成
　/Applications/Splunk/etc/apps/hello_world/local/配下に以下の2ファイル配置します。

commands.conf

[HelloWorld]
filename = hello_world.py

authorize.conf

[capability::run_script_HelloWorld]

[role_admin]
run_script_HelloWorld= enabled

###③カスタムサーチコマンドの実行
　Splunkで作成した"Hello World"のAppを開き、以下のサーチコマンドを実行します。

|run HelloWorld

下図のように"Hello World"が表示されました。

　なお、Appの権限を変更すればどのサーチ画面でも実行可能なコマンドになります。