ERRO: comando de pesquisa: Esperando o nome da tabela de pesquisa como o primeiro argumento

Aplicabilidade

Splunk Cloud Splunk Enterprise

Descrição

* Erro ao pesquisar

Could not load lookup=LOOKUP-SFDC-USER_NAME2 
[idx-i-xxxxa.[stack].splunkcloud.com] Could not load lookup=LOOKUP-SFDC-USER_NAME2 
[idx-i-xxxxb.[stack].splunkcloud.com] Could not load lookup=LOOKUP-SFDC-USER_NAME2 
[idx-i-xxxxc.[stack].splunkcloud.com] Could not load lookup=LOOKUP-SFDC-USER_NAME2

* Em search.log em 'Inspetor de trabalho'

07-31-2019 04:22:21.307 ERROR LookupProviderFactory - Expecting lookup table name as the
first argument. 07-31-2019 04:22:21.307 ERROR AutoLookupDriver - Could not load lookup='LOOKUP-SFDC-USER_NAME2'
reason='Error in 'lookup' command: Expecting lookup table name as the first argument.'

 

Investigação

Se uma estrofe de tipo de origem tiver uma referência de tabela de pesquisa vazia, você receberá a mensagem: Error in 'lookup' command: Esperando o nome da tabela de pesquisa como o primeiro argumento.

Isso pode acontecer quando um usuário ajusta um tipo de origem na interface do usuário e remove a referência de pesquisa. Por exemplo, quando uma pesquisa global é removida de um tipo de origem. O Splunk Web pode mostrar a remoção bem-sucedida da pesquisa, mas a configuração vazia ainda está no arquivo props.conf.

 

Resolução

1. Localize a referência de pesquisa vazia usando btool em props.conf com o nome da pesquisa. Por exemplo: 

./splunk btool props list --debug |grep <lookup_name>

2. Edite o arquivo props.conf ofensivo.
3. Localize e remova a referência de pesquisa vazia da estrofe sourcetype.
4. Teste uma pesquisa e confirme se o erro não reaparece.
 

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	28-Sep-2026	Versão inicial