エラー： lookupコマンド：最初の引数として参照テーブル名が必要です

適用性

SplunkクラウドSplunk Enterprise

説明

* 検索中のエラー

Could not load lookup=LOOKUP-SFDC-USER_NAME2 
[idx-i-xxxxa.[stack].splunkcloud.com] Could not load lookup=LOOKUP-SFDC-USER_NAME2 
[idx-i-xxxxb.[stack].splunkcloud.com] Could not load lookup=LOOKUP-SFDC-USER_NAME2 
[idx-i-xxxxc.[stack].splunkcloud.com] Could not load lookup=LOOKUP-SFDC-USER_NAME2

* 'ジョブインスペクタ'のsearch.log内

07-31-2019 04:22:21.307 ERROR LookupProviderFactory - Expecting lookup table name as the
first argument. 07-31-2019 04:22:21.307 ERROR AutoLookupDriver - Could not load lookup='LOOKUP-SFDC-USER_NAME2'
reason='Error in 'lookup' command: Expecting lookup table name as the first argument.'

 

調査

ソースタイプのスタンザに空の参照テーブル参照がある場合は、「Error in 'lookup' command: Expecting lookup table name as the first argument」というメッセージが表示されます。

これは、ユーザがUIでソースタイプを微調整し、ルックアップ参照を削除した場合に発生する可能性があります。たとえば、あるソースタイプからグローバルルックアップが削除された場合などです。Splunk Webでルックアップの正常な削除が表示される場合がありますが、props.conf ファイルには空の構成設定が残っています。

 

解決方法

1. ルックアップ名を持つprops.confでbtoolを使用して、空のルックアップ参照を検索します。以下に、いくつかの例を示します。 

./splunk btool props list --debug |grep <lookup_name>

2. 問題のprops.confファイルを編集します。
3. ソースタイプから空の参照参照を検索して削除します。
4. 検索をテストし、エラーが再発しないことを確認します。
 

更新履歴

改定	発行日	コメント
1.0	28-Sep-2026	初版