説明
- etc/system/local/ はインデックス時に優先されます - 同じファイル内の同一の設定については、最後の設定が他の設定を上書きします。以下を参照してください:
https://community.splunk.com/t5/Getting-Data-In/What-is-the-precedence-for-identical-stanzas-within-a-single/m

説明
このオプションは、ファイル パス「$SPLUNK_HOME/etc/apps/splunk_TA_nginx/local/inputs.conf」に対応します。
これは、アップグレード後もNGINXアクセスログが影響を受けないようにするためにユーザーが編集する必要がある設定ファイルです。これはSplunkのドキュメントで説明されており、次のように記載されています。
ローカルディレクトリは、カスタマイズした設定ファイルを保存する場所です。Splunk Enterprise のインストール時には、ローカルディレクトリは空です。設定ファイルのデフォルト設定を上書きまたは追加する必要がある場合に作成します。アップグレード時にローカルディレクトリが上書きされることはありません。

説明
Splunkのドキュメント1によると、イベント処理はデータパイプラインの解析フェーズで行われます。解析フェーズでは、Splunkソフトウェアが入力データを個々のイベントに処理し、タイムスタンプ情報を抽出し、ソースタイプを割り当て、その他のタスクを実行してデータを検索可能にします1。また、解析フェーズでは、フィールド抽出、イベントタイプのマッチング、その他の変換をイベントに適用することもできます2。