Splunk의 시계열 차트와 timezone

스플렁크에서 시계열 차트를 그릴 땐 주로 timechart 명령을 사용한다. 시간 필드가 X축으로 자동 지정되기 때문에 편함.

Asia/Seoul 시간대

그런데 드물게 현지 시간대가 아닌, GMT 기준으로 차트가 그려질 때가 있다. 시간 필드는 한국 시간인데, 차트만 9시간 빠른 GMT 기준으로 그려짐. (뭐가 문제지? 버그인가?)

GMT 시간대

이때 시도해볼 수 있는 방법은 

'사용자 기본 설정' 메뉴에서 시간대를 바꿔주는 것. 사실 디폴트가 '시스템 timezone과 동기화'라 현지 시간대로 표시되는 게 정상인데(..)

그런데 프리 라이센스를 사용 중이면 해당 기능은 사용할 수 없다. 두 번째 방법은 시간을 조작하는 것. 9시간 빨라서 문제니, 9시간 느리게 조작하면 된다. 다음은 eval 명령어를 이용해서 기존 시간에 9시간(32,400초)을 더한 결과. 원하는 시간대가 표시된다.

문제는 보다시피 전체 차트 시간 범위가 '9시간 + 지정 시간 범위'로 고정돼버린다. 9시간 범위에 존재하는 데이터라도 불러오면 모르겠는데, 데이터는 또 지정된 시간 범위만 불러옴. 

chart 명령을 사용하면?

이제 지정된 시간 범위의 데이터가 현지 시간대로 표시된다. 재밌는 건 시간 필드는 GMT로 바뀜. 차트만 볼 거니 상관 없음 그런데 계산 간격이 실시간(초 단위)이네? 

지정 시간 범위에서 적정 계산 간격을 정해주는 bin 명령은 원래 chart나 timechart 실행할 때 자동 반영이라고 하는데, 이상하게 chart 명령은 적용이 안 되더라. 계산 간격이 너무 촘촘하니 bin 명령도 추가.

계산 간격을 임의 수정하려면 span 옵션을 사용하면 된다.

삽질 끝에 현지 시간대의 시계열 차트 생성 성공. 그런데 너무 번거롭다. 재설치해야겠다(..)

관련 글

• Splunk의 chart 정렬
• Bin time spans and local time