Splunk Обновление статуса событий

Question

Я использую Splunk REST API (C#)

У меня есть event_id, и я хочу, чтобы обновить статус события с запросом HTTP POST.

То, что я пытался это отправить HTTP Post запрос со следующим телом запроса в формате JSON:

{'status': 5, 'urgency': 'high', 'newOwner': 'admin', 'output_mode': 'json', 'comment': 'This is a test of the REST endpoint', 'ruleUIDs': ['MYEVENTUID']} 

И это ответ:

{"message": "No search ID was provided.", "success": false} 

В чем проблема и как можно Я чиню это?

Answer 1

Вы пытаетесь изменить событие splunk, которое уже было проиндексировано? Если это так, вы не можете, потому что индексы splunk доступны только для чтения, и их данные не могут быть изменены.