Splunk視覺化特效封裝Splunk Visualization Packaging

Splunk6.4推出一些新的視覺特效，如下是其中之二，使用時可以下載套件來引用，例如:parallel coordinates，但在6.4多個視覺化特效都各自有一個App，對於使用者想平行擴充或等複製的需求來說，應該會想把這些特效封裝在一個App中，就能方便而快速的使用

以Splunk6.4推出的parallel coordinates特效為例，下載安裝完在app列表就會出相關app，位置在$splunk/etc/apps下。使用時在web UI可以選擇，也可以在XML中利用viz標籤套用，<viz type="parallel_coordinates_app.parallel_coordinates">.......</viz>即可。

明眼人應該看出來，前面parallel_coordinates_app就是套件名，所以移動步驟之一就是將相關檔案移入自己或是想要的app中，之二就是再修改相關config就好了。

首先根據splunk官網教的，建構客製視覺化架構後https://docs.splunk.com/Documentation/Splunk/latest/AdvancedDev/CustomVizTutorial，將$Splunk\etc\apps\parallel_coordinates_app\appserver\static\visualizations下的parallel_coordinates資料夾複製到該app的visualizations之下。

接著改config，將$Splunk\etc\apps\parallel_coordinates_app\default下的兩個config檔savedsearches.conf 與 visualizations.conf，複製至該app下的default下即可。

接著該特效就能利用該app引用瞜，對於擴充跟複製都很方便。

使用範例如下:

<row>

    <panel>

      <title>Parallel Coordinates 平行協作圖</title>

      <viz type="app_name.parallel_coordinates">

        <search>

          <query>index=xyz a="$xyz_field$" b="$xyz_field2$"|stats count by a,b,c</query>

          <earliest>$xyz.earliest$</earliest>

          <latest>$xyz.latest$</latest>

        </search>

        <option name="app_name.parallel_coordinates.hideTicks">false</option>

        <option name="app_name.parallel_coordinates.maxCategories">25</option>

        <option name="app_name.parallel_coordinates.colorMode">categorical</option>

        <option name="app_name.parallel_coordinates.minColor">#d93f3c</option>

        <option name="app_name.parallel_coordinates.maxColor">#3fc77a</option>

      </viz>

    </panel>

  </row>