Объединение результатов из 2 индексов в запросе splunk

У меня есть один индекс idx1, другой индекс idx2 и общий столбец A, для которого необходимо выполнить сопоставление.

Мне трудно объединить данные из обоих столбцов. Я должен объединить данные таким образом, чтобы, если есть дубликаты, данные из idx1 должны иметь приоритет над данными из idx2; т.е. в основном эквивалент операции установки [a + (b-a)].

Я пробовал следующее:

| set diff  [ search index=idx2 sourcetype=src | dedup A ] [search index=idx1 sourcetype=src | dedup A ]
| stats count BY index A
| table index A

Здесь я получаю всего 10840 статистических данных с заполненными обоими столбцами.

Но когда я хочу отобразить другие столбцы из обоих индексов, я получаю для них пустые столбцы.

При выполнении:

| set diff  [ search index=1idx1 sourcetype=src | dedup A ] [search index=idx2 sourcetype=src | dedup A ]
    | stats count BY index

Я получаю результат как

количество индексов idx1 4791 idx2 6049

Может ли кто-нибудь помочь мне, как мне действовать?

Я пробовал даже это, но не уверен

index=idx1 sourcetype=src
| append [
| set diff  [ search index=idx2 sourcetype=src | dedup A ] [search index=idx1 sourcetype=src | dedup A ]]
    | stats count BY index A
    | table index A