本文主要是介绍Splunk 之 filed 恢复，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！
1: 背景：
我们在工作过程中，或者是和很多team 进行交互的时候，总会有 filed 共用的情况，还有就是filed 会被相同权限的同事删除等等，这种情况下，就要求做好 /opt/splunk/etc/apps 的备份工作。
如果知道原来是在哪个app 下的fileds, 还好，就怕不知道在哪里。
同样的道理，还有些macros, fileds, alert, report 啥的，都体现的备份的重要性。
2: 解决思路：
如果有备份文件，先去/opt/splunk/etc/apps/XXX/ 下面的local 下面，去： props.conf ,通常 这个是和filed 有关的，当然还有其它的文件，例如： macros.conf, savedsearches.conf 等是放report / alert 的。
可以先把这些文件放到自己的测试环境中，看看效果。
假如： props.conf 文件，你看到的是：
[a:b]
EXTRACT-abc_123 = ^[^\.\n]*\.\d+\s+\w+\s+(?P<hello_shanghai>[^#]+)
那么就可以去下面的界面：
下面的app name是： kunshan
下面是个例子：
当然，还有macros 也可以试试，把macros.conf 放到:/ opt/splunk/etc/apps/xxxx/local/macros.conf.
然后重启splunk ,界面上就可看到了。
这篇关于Splunk 之 filed 恢复的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！
