A API REST não finaliza pesquisas no estado de análise

Aplicabilidade

Empresa Splunk

Descrição

De acordo com o Manual de Referência da API REST, é possível parar as pesquisas usando a ação 'finalizar'.

Em um ambiente com várias pesquisas executando mais de 24 horas, a API REST é usada para interromper essas pesquisas que não produzem resultados em um período tão longo. O comando usado é este:

curl method=post uri=https://localhost:8801/services/search/jobs/$sid$/control splunkauth=true data=\"action=finalize\"

No entanto, esse comando é bem-sucedido com a maioria das pesquisas, mas não consegue parar as pesquisas que estão no estado de análise. Esses precisam parar de matar o processo do SO.

Investigação

O ponto de extremidade CONTROL aceita uma lista de ações (pausa | cancelar pausa | finalizar | cancelar | toque | Liquidação | definir prioridade | habilitar visualização | desabilitarvisualização | setworkloadpool)

finalizar: Interrompe a pesquisa e fornece resultados intermediários ao ponto de extremidade /results.

Quando uma pesquisa é gerada a partir de um SH, o SH a analisa em partes distribuídas e centralizadas que posteriormente serão enviadas aos indexadores. Nesse ponto, a pesquisa ainda não produziu nenhum resultado, portanto, a ação 'finalizar' não poderá fornecer resultados intermediários. 

No entanto, a ação 'cancelar' funciona bem para pesquisas no estado de análise. Essa ação interrompe a pesquisa e não retorna resultados. 

cancel: Interrompe a pesquisa atual e exclui o cache de resultados.

 

Resolução

Para pesquisas no estado de análise, este comando interromperá o trabalho corretamente.

curl method=post uri=https://localhost:8801/services/search/jobs/$sid$/control splunkauth=true data=\"action=cancel\"

Links relacionados

Documentação do Splunk

Manual de referência da API REST

RESTsearch

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	28-Sep-2026	Versão inicial