오류: "조회 파일 이름이 없거나 올바르지 않거나 업그레이드 문제로 인해 lookup=LOOKUP-"을(를) 로드할 수 없습니다.

적용 가능성

설명

검색하면 다음 오류 메시지가 트리거됩니다. 

6 errors occurred while the search was executing. Therefore, search results might be incomplete.
Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>

이 문제는 여러 가지 문제로 인해 발생할 수 있지만 가장 일반적인 이유는 조회 이름을 찾을 수 없거나 조회 파일의 일부 내용이 누락되었기 때문입니다.
Splunk 소프트웨어는 필드 추출, 필드 별칭 및 계산 필드를 처리한 후 조회를 처리하므로 이를 제거하거나 주석 처리하거나 업데이트해야 합니다. 

조사

모든 검색은 Search Head UI에서 다음 메시지를 수신합니다

Error: Could not load lookup=Name of Lookup 

이 시나리오에서는 호스트가 인덱싱 계층에 있다는 오류 메시지가 표시됩니다. 아래 예: 

Could not load lookup=Name of Lookup
host = idx-i-<hostname>.<stackid>.splunkcloud.com source = /opt/splunk/var/log/splunk/search_messages.log

아래와 같이 tool 명령을 실행한 후에서 조회 참조를 찾았습니다.
 $SPLUNKHOME/etc/apps/***/props.conf 

 

./$SPLUNKHOME/bin/splunk btool props list --debug

이 문제는 이 조회를 제거하거나 $SPLUNKHOME/etc/apps/**/props.conf에서 올바른 파일 이름/테이블 이름으로 조회 파일을 업데이트하여 해결할 수 있습니다. 

해결

$SPLUNK_HOME/etc/app/*/props.conf을 검토하여 해당 조회가 사용 가능한지 확인합니다.

$SPLUNK_HOME/etc/app/*/props.conf

이 조회가 여전히 존재하는 경우 Splunk 소프트웨어에서 내부적으로 쿼리합니다. 
Splunk 소프트웨어는 필드 추출, 필드 별칭 및 계산 필드를 처리한 후 조회를 처리하므로 이 설정을 비활성화하거나 제거하거나 주석 처리해야 합니다.

앱 업그레이드로 인한 문제인 경우 해당 조회 파일 내용을 확인하고 업데이트하십시오 
 

관련 링크