無料版でも有料版でもバイナリはいっしょ。 rpmが用意されているので実行する。splunkユーザーが追加されるので。splunkユーザになる。
/opt/splunk/etc/system/default | 設定ファイルデフォルトディレクトリ。バージョンアップで上書きされる可能性があるので変更するならローカル上書きフォルダ |
/opt/splunk/etc/system/local | ローカルで上書きする場合のファイル |
su - splunk splunk start splunk stop
splunkユーザーだと8000ポートで起動するので、nginxでproxy設定をして80アクセス可能とした。
location / { proxy_pass http://127.0.0.1:8000/; }
transforms.conf | 正規表現を定義する |
props.conf | ソースタイプごとの設定を行う。文字コードや上記正規表現の適用など |
fields.conf | フィールドごとにINDEXEDの有無を設定 |
ui-prefs.conf | デフォルトのUIを指定する。デフォルトが全期間となっており危険なので変更した |
[search] dispatch.earliest_time = -24h dispatch.latest_time = now [default] dispatch.earliest_time = -24h dispatch.latest_time = now
index=_internal source=*license_usage.log type=Usage earliest=-20d | eval MB = b/1024/1024 | rename s AS source | timechart span=1d sum(b) AS "Total MB used" by source
index=_internal sourcetype="splunkd" group="per_sourcetype_thruput" series!=splunk* | eval mb=kb/1024 | timechart limit=20 minspan=1d sum(mb) by series
index=_internal sourcetype="splunkd" group="per_sourcetype_thruput" series!=splunk* | eval mb=kb/1024 | timechart limit=20 minspan=1h sum(mb) by series
index=_internal ( sourcetype=scheduler alert_actions="email" ) OR ( sourcetype=splunk_python "sendemail" )
サーチ文字列 | fields column1,column2
サーチ文字列 | table column1,column2
サーチ文字列 | delete
http://docs.splunk.com/Documentation/Splunk/latest/Alert/Configuringscriptedalerts
サーチしたら「waiting for queued job to start...」とでる | 同時実行数をこえてサーチが実行された。ひたすら待つかパラメータの調整を |