当Splunk中的警报触发时，如何将Splunk令牌值传递到Slack块json代码

如何解决当Splunk中的警报触发时，如何将Splunk令牌值传递到Slack块json代码

任何人都可以使用Splunk中可用的默认选项在Splunk中配置Webhook，以及如何添加有效负载，因为没有其他可用的选项，如下所示。 enter image description here

我正在使用Splunk App，并且能够在我的Slack Channel中获取触发警报通知，但是我想修改文本格式。

Your Testing Alert alert matched 5 Events At 1600318446.014216
Please Click on below link to View Alert: http://Shailesh-Yadav:8000/app/search/alert?s=%2FservicesNS%2Fnobody%2Fsearch%2Fsaved%2Fsearches%2FTesting%2BAlert
Type of Alert : alert
Owner of Alert is : shaileshyadav
Trigger Date: 2020-09-17
Job Level: Testing Alert
Job Run Duration: 0.169
Job Search ID: scheduler__shaileshyadav__search__RMD511208c77f51c333d_at_1600318440_23
Priority:1

我已经检查并发现消息格式化有一个选项。我们可以使用json负载，并且可以使用Curl命令将其发送到Webhook URL。 例如

curl -X POST -H "Content-Type: application/json" -d @/Users/shaileshyadaav/Desktop/splunk.json https://hooks.slack.com/services/YFVGJDSF3784865/XXXXXX/XXXXXXXYYYYYYYYYY

面临的问题：事件触发时如何实时传递json文件中的Splunk令牌值（我可以通过使用Splunk APP来获取，但格式不符合预期）。

解决方法

您无法使用Webhook警报操作发送自定义有效负载。默认情况下，它将发送包含以下内容的有效负载：

• 触发警报的已保存搜索的搜索ID或SID
• 链接到搜索结果
• 搜索所有者和应用
• 触发搜索结果中的第一条结果行

ref：https://docs.splunk.com/Documentation/Splunk/8.0.2/Alert/Webhooks

因此，唯一的自由度是更改或自定义第一个结果行中返回的值。如果您需要更高级的自定义提醒操作，请查看https://splunkbase.splunk.com/app/2878/

请参见此示例，其中当警报条件触发时，列名将更改为自定义值并通过webhook传递。