Splunk регулярного выражения устранение окончательного цитаты

Question

у меня есть:

Row 114005: Requester Name: "RETAIL\S2343W01$" Issued Common Name: "S2343W01.retail.fakename.com" User Principal Name: "S2343W01.retail.fakename.com" Serial Number: "4c22be0100010002d317" Certificate Template: Client Authentication - Retail Desktops Certificate Effective Date: 12/1/2011 10:38 AM Certificate Expiration Date: 11/30/2012 10:38 AMMaximum Row Index: 114005 

И у меня есть регулярное выражение:

(?i)Serial Number: “(?P<cert_SN>.+?\n) 

Результата, как:

cert_SN = 4c22be0100010002d317" 

Как я могу устранить окончательную цитату?

Answer 1

Try:

(?i)Serial Number:\s\"(?P<cert_sn>\w+) 

Или, если нужно, чтобы захватить пустые поля:

(?i)Serial Number:\s\"(?P<cert_sn>[^\"]*)\" 

Answer 2

вы можете заменить .+?\n на [^"]+

[^"] класс персонажа, который не содержит двойные кавычки.