maxspan オプションは含まれません1。
Splunkでは、transactionコマンドを使用して、共通の特性を持つイベントを単一のtransaction1にグループ化します。デフォルトでは、transactionコマンドは一致するすべてのイベントを単一のtransaction1にグループ化します。
ただし、maxspanオプションを使用してトランザクションの期間を制限することができます1。トランザクション内の最初のイベントと最後のイベントの間の期間がmaxspan値を超える場合、トランザクションコマンドは新しいトランザクションを開始します1。
したがって、検索に maxspan オプションが含まれていない場合、トランザクション内の最初のイベントと最後のイベント間の時間範囲がデフォルトの maxspan 値 1 を超えると、トランザクション コマンドによって 1 つのトランザクションではなく複数のトランザクションが生成されることがあります。
検索で maxspan オプションを使用する方法の例を次に示します。
index=main sourcetype=access_combined | transaction someuniqefield maxspan=1h この検索で​​は、トランザクションコマンドは、同じsomeuniqefield値を持つイベントを単一のトランザクションにグループ化します。ただし、トランザクション内の最初のイベントと最後のイベントの間の時間間隔が1時間を超えない場合に限ります1。時間間隔が1時間を超える場合、トランザクションコマンドは新しいトランザクションを開始します1。
Explanation:
正解は