splunk - 如何控制仪表板中的输入变量

Question

我正在努力解决以下查询：搜索.. | 表.. AA_ID，BB_ID .. | 其中 (match(AA_ID, $AAID$) OR isnull($AAID$)) AND (match(BB_ID, $BBID$) OR isnull($BBID$)) 。

$AAID$ 和 $BBID$ 来自我制作的仪表板中的输入变量，它们是文本类型。我希望当用户没有输入或设置像'all'或'*'这样的变量时显示所有结果，但它没有像我预期的那样工作。有很多使用 where 或 search 子句控制查询结果的示例，但我还没有看到控制输入变量的示例。

请让我知道，如果你知道什么或相关的。提前致谢！

标签： splunksplunk-query