SplunkでJSONフィールドを抽出できません

Question

syslog入力からJSONフィールドを抽出しようとしています。私は次の行を追加しました./etc/system/default/props.confで

：

[mylogtype] 
SEDCMD-StripHeader = s/^[^{]+// 
INDEXED_EXTRACTIONS = json 
KV_MODE = none 
pulldown_type = true 

SEDCMD作品。 syslogsヘッダーが削除されます。

しかし、JSONフィールドは解析されません。

アイデア？

Answer 1

解決済み。 props.confで次の設定を使用してください。

[yourlogtype] 
SEDCMD-StripHeader = s/^[^{]+// 
KV_MODE = json 
pulldown_type = true