錯誤：lookup命令：第一個引數應為查閱表名稱
適用性
Splunk雲端Splunk企業版說明
*搜尋時出錯Could not load lookup=LOOKUP-SFDC-USER_NAME2 [idx-i-xxxxa.[stack].splunkcloud.com] Could not load lookup=LOOKUP-SFDC-USER_NAME2 [idx-i-xxxxb.[stack].splunkcloud.com] Could not load lookup=LOOKUP-SFDC-USER_NAME2 [idx-i-xxxxc.[stack].splunkcloud.com] Could not load lookup=LOOKUP-SFDC-USER_NAME2
*在search.log中，登入「工作檢查員」
07-31-2019 04:22:21.307 ERROR LookupProviderFactory - Expecting lookup table name as the first argument. 07-31-2019 04:22:21.307 ERROR AutoLookupDriver - Could not load lookup='LOOKUP-SFDC-USER_NAME2' reason='Error in 'lookup' command: Expecting lookup table name as the first argument.'
調查
如果sourcetype stanza具有空的查詢表引用，您將收到消息：「lookup」命令中的錯誤：第一個引數應為查閱表名稱。當使用者調整UI中的源型別並刪除查詢引用時，可能會發生這種情況。例如，當從某個源型別中刪除全域性查詢時。Splunk Web可能會顯示成功刪除查詢，但空配置設定仍在props.conf 檔案中。
解析
1.在props.conf上使用具有查詢名稱的btool查詢空查詢引用。舉例來說：./splunk btool props list --debug |grep <lookup_name>2.編輯違規的props.conf檔案。
3.從sourcetype stanza中查詢並刪除空查詢引用。
4.測試搜尋並確認錯誤不再出現。
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
28-Sep-2026
|
初始版本 |
意見