孤立した検索を削除できません。

適用性

説明

削除されたユーザに対する孤立した検索に関するメッセージがSplunk GUIに表示されますが、Splunk Webでナレッジオブジェクトを再割り当てした後、GUIのメッセージに記載されているユーザの下に孤立した検索は見つかりませんでした。

調査

$SPLUNK_HOME/etc/users/deleted.user/search/local/savedsearches.confを確認したところ、ファイルは空であることがわかりました。この時点では、このシナリオは説明されていないため、ドキュメントに従うことはできません。
 

解決方法

修正方法：
孤立検索の場所を特定するには、deleted.userの名前の下でメタデータを検索します。

Linuxの場合

find . -name '*.meta' | grep -iH <deleted.user>

Windows の場合：

get-childitem C:\ -name -recurse *.meta*

検索を通して、孤立した検索を含むdeleted.user所有者の下にsavedsearches.confファイルが見つかります。

所有権を変更すると、GUIメッセージは表示されなくなります。