No se puede eliminar la búsqueda huérfana.

Aplicabilidad

Descripción

En la GUI de Splunk se muestra un mensaje sobre una búsqueda huérfana de un usuario eliminado; sin embargo, después de ir a Reasignar objetos de conocimiento en la Web de Splunk, no se ha encontrado ninguna búsqueda huérfana en el usuario que se menciona en el mensaje de la GUI.

Investigación

Después de comprobar $SPLUNK_HOME/etc/users/deleted.user/search/local/savedsearches.conf, el archivo se encuentra vacío. En este momento, no se puede seguir la documentación porque no se describe este escenario.
 

Resolución

Cómo solucionarlo:
Busque metadatos bajo el nombre de delete.user para identificar dónde se encuentra la búsqueda huérfana.

Para Linux:

find . -name '*.meta' | grep -iH <deleted.user>

Para Windows:

get-childitem C:\ -name -recurse *.meta*

A través de las búsquedas, se debe encontrar un archivo savedsearches.conf bajo la propiedad delete.user que contiene la búsqueda huérfana.

Después de cambiar la propiedad, el mensaje de la GUI ya no se mostrará.