検索が正しいインデックスに設定されていることを確認します。 [Saved Queries] の横にある [Index] を選択します。ポップアップウィンドウの [Connection Selection] セクションで、まず Splunk プラットフォーム（Splunk Cloud Platform または Splunk Enterprise）接続を選択します。次に、[Index Selection] セクションで、Log Observer Connect にクエリするインデックスを選択します。インデックスを選択しない場合、次の動作が発生します。

1. 初めて検索を実行する場合、Log Observer Connect はアクセス権を持つすべてのインデックスの検索を最初に実行し、最新の 150,000 件のログを返します。Splunk Virtual Compute（SVC）リソースを節約するため、検索はその後デフォルトで [Pause] になります。受信ログをモニターしないときは検索を [Pause] のままにし、受信ログをさらに表示するときは [Play] を選択して、パフォーマンスとコストに影響を与える SVC リソースを制御します。

2. Log Observer Connect の使用が初めてではなく、メインインデックスを定義している場合、検索はデフォルトでメインインデックスに設定されます。メインインデックスを定義していない場合、検索はデフォルトでインデックスリストの最初のインデックスに設定されます。1 つ以上のインデックスを選択してクエリを実行すると、Log Observer Connect はデフォルトで以前に選択したインデックスに設定されます。

3. Splunk Observability Cloud の別のエリアにある関連ログを選択して Log Observer Connect を開始すると、Log Observer Connect 検索はデフォルトですべてのインデックスに設定され、関連するすべてのログを検索します。

   注: 一度に 1 つの Splunk プラットフォーム インスタンスからのみインデックスをクエリできるため、接続は 1 つだけ選択する必要があります。Splunk プラットフォームのインデックスをクエリできるのは、Splunk プラットフォームで適切なロールと権限を持っている場合のみです。

インデックスピッカーの隣にあるコンテンツコントロールバーで、[Add Filter] を選択します。キーワードやフレーズを検索するには、[Keyword] タブを選択します。フィールドを検索するには、[Fields] タブを選択します。次に、Enter キーを押します。検索にキーワードやフィールドの追加を続けるには、再度 [Add Filter] を選択します。作成後にフィルタを編集するには、フィルタピルを選択し、フィルタ値インラインを編集します。

次に、[Search Records] フィールドから [Unlimited] または [150,000] を選択して、1 回の検索で返すログの数を指定します。[150,000] を選択して、Splunk Virtual Compute（SVC）リソースを最適化し、パフォーマンスとコストを制御します。ただし、最新の 150,000 件のログのみが表示されます。特定の時間範囲を表示するには、[Infinite] を選択する必要があります。

検索結果を絞り込むには、[Group by] ドロップダウンリストを使用して、結果をグループ化するフィールドを選択し、[Apply] を選択します。集計の詳細については、「ログ集計を使用してフィールドごとにログをグループ化する」を参照してください。

Run search を選択します。

（オプション）現在の検索を停止する場合は、[Cancel search] を選択します。部分的な結果は表示されません。検索を続行するには、[Run search] を再度選択します。

右側の [Fields] パネルで、クエリの上位値を確認します。このリストには、ログレコード内の各値の数が含まれています。特定の値を持つログレコードを含めるには、フィールド名を選択してから、[=] を選択します。結果から特定の値を持つログレコードを除外するには、フィールド名を選択してから、[!=] を選択します。このフィールドの値と分布の完全なリストを表示するには、[Explore all values] を選択します。

（オプション）Splunk プラットフォームデータを表示している場合、Splunk プラットフォームでクエリ結果を開き、SPL を使用して結果のログをさらにクエリできます。Splunk プラットフォームのアカウントが必要です。Splunk プラットフォームでログ結果を開くには、Logs テーブルの上部にある [Open in Splunk platform] アイコンを選択します。