无法使用“=”搜索字段
适用范围
Splunk企业版Splunk云描述
Splunk版本：7.0.13当尝试通过匹配字符串来搜索以下字段之一时：
- pod
- 命名空间
- container_name
- container_id
像container_id=aadd1一样，不会返回结果。
调查
经过一些研究后发现，此配置上的HEC数据无需任何配置文件即可索引，但为了正确使用它，需要一些配置。实际上，这些字段可以通过使用::sign（元数据字段说明符），但这并不能解决不能使用=号搜索这些字段的问题。
要使此配置正常工作，必须在搜索时执行进一步配置。当具有GCP Kubernets的HEC输入时，事件似乎并未完全准备好可搜索。特别是字段似乎没有索引，这是数据原始数据的一部分，但在搜索获取事件时没有指定。
分辨率
由于未获取索引的事件配置参数必须按如下方式添加：实例：搜索头
文件:fields.conf
路径：$SPLUNK_HOME/etc/apps/search/local
设置：将每个字段添加为参数INDEXED=true的字段，如下所示。
[pod] INDEXED=true[namespace] INDEXED=true[container_name] INDEXED=true[container_id] INDEXED=true
之后，需要重新启动搜索头，此时将以=号搜索即将发生的新事件。
相关链接
Splunk答案为什么需要使用“：：”在HEC的“fields”参数中搜索元数据？:
https://answers.splunk.com/answers/635676/why-do-i-need-to-search-metadata-in-a-fields-argum.html
外部链路
Kubernetes日志记录设置：
https://github.com/splunk/splunk-connect-for-kubernetes/tree/develop/helm-chart/splunk-kubernetes-logging
修订历史记录
| 版本 | 发布日期 | 备注 |
|---|---|---|
1.0 |
28-Sep-2026
|
初始版本 |
反馈