错误：由于查找文件名丢失/不正确或升级问题，无法加载lookup=LOOKUP-

适用范围

描述

搜索会触发以下错误消息： 

6 errors occurred while the search was executing. Therefore, search results might be incomplete.
Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>
[idx-i-xxx.xyz.splunkcloud.com] Could not load lookup=LOOKUP-<lookup_name_here>

这可能由许多问题引起，但最常见的是找不到查找名称或缺少查找文件的某些内容。
这将需要删除、注释或更新，因为Splunk软件在处理字段提取、字段别名和计算字段后会处理查找。 

调查

任何搜索都会在搜索头UI中收到以下消息

Error: Could not load lookup=Name of Lookup 

在此场景中，显示主机位于索引层上的错误消息。以下示例： 

Could not load lookup=Name of Lookup
host = idx-i-<hostname>.<stackid>.splunkcloud.com source = /opt/splunk/var/log/splunk/search_messages.log

在运行如下所示的btool命令后，在中找到了查找引用。
 $SPLUNKHOME/etc/apps/**/props.conf 

 

./$SPLUNKHOME/bin/splunk btool props list --debug

通过从$SPLUNKHOME/etc/apps/***/props.conf中删除此查找或使用正确的文件名/表名更新查找文件，可以解决此问题。 

分辨率

查看$SPLUNK_HOME/etc/app/*/props.conf以确认相关查找是否可用。

$SPLUNK_HOME/etc/app/*/props.conf

如果查找仍然存在，它将由Splunk软件在内部查询。 
需要禁用、删除或注释该设置，因为Splunk软件在处理字段提取、字段别名和计算字段后会处理查找。

如果问题是由应用升级引起的，请检查相应的查找文件内容并更新它 
 

相关链接