ERRORE: "Impossibile caricare lookup=LOOKUP-" a causa di un nome di file di ricerca mancante/non corretto o di un problema di aggiornamento

Applicabilità

Descrizione

Le ricerche generano il seguente messaggio di errore: 

6 errors occurred while the search was executing. Therefore, search results might be incomplete.
Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>

La causa potrebbe essere un numero di problemi, ma il più comune è che non è possibile trovare il nome di ricerca o che manca parte del contenuto del file di ricerca.
Sarà necessario rimuovere, commentare o aggiornare questa impostazione poiché il software Splunk elabora le ricerche dopo l'elaborazione delle estrazioni dei campi, degli alias dei campi e dei campi calcolati. 

Indagine

Qualsiasi ricerca riceve il seguente messaggio nell'interfaccia utente di Search Head

Error: Could not load lookup=Name of Lookup 

In questo scenario, il messaggio di errore visualizzato indica che gli host si trovano sul livello di indicizzazione. Esempio seguente: 

Could not load lookup=Name of Lookup
host = idx-i-<hostname>.<stackid>.splunkcloud.com source = /opt/splunk/var/log/splunk/search_messages.log

Dopo l'esecuzione di un comando btool come illustrato di seguito, il riferimento di ricerca è stato trovato in .
 $SPLUNKHOME/etc/apps/***/props.conf 

 

./$SPLUNKHOME/bin/splunk btool props list --debug

Per risolvere il problema, rimuovere questa ricerca o aggiornare il file di ricerca con il nome di file o il nome della tabella corretto da $SPLUNKHOME/etc/apps/***/props.conf . 

Risoluzione

Esaminare $SPLUNK_HOME/etc/app/*/props.conf per verificare se la ricerca in questione è disponibile.

$SPLUNK_HOME/etc/app/*/props.conf

Se la ricerca esiste ancora, verrà eseguita internamente dal software Splunk. 
L'impostazione dovrà essere disabilitata, rimossa o commentata poiché il software Splunk elabora le ricerche dopo l'elaborazione delle estrazioni dei campi, degli alias dei campi e dei campi calcolati.

Se il problema è dovuto all'aggiornamento dell'app, controllare il contenuto dei rispettivi file di ricerca e aggiornarlo 
 

Collegamenti correlati