説明/参照: https://docs.splunk.com/Documentation/Forwarder/8.0.5/Forwarder/Configuretheuniversalforwarder

さらに明確にするために、@giubal からの同じ Splunk 参照 URL を引用します。
ピアノード間で構成設定の一貫性を保つため、構成ファイルはクラスタマスターから管理され、ピアノードのスレーブアプリディレクトリにプッシュされます。スレーブアプリディレクトリ内のファイルは、クラスタピアの構成において最も高い優先順位を持ちます。クラスタピアの拡張された優先順位は次のとおりです。
1.スレーブアプリのローカルディレクトリ - 最高優先度
2. システムローカルディレクトリ
3. アプリのローカルディレクトリ
4. スレーブアプリのデフォルトディレクトリ
5. アプリのデフォルトディレクトリ
6. システムのデフォルトディレクトリ --最低優先度

https://docs.splunk.com/Documentation/Splunk/latest/Data/Configureeventlinebreaking 属性: SHOULD_LINEMERGE = [true|false] 説明: true に設定すると、Splunk プラットフォームは、次のセクションで説明する設定に基づいて、複数の入力行を 1 つのイベントに結合します。

https://docs.splunk.com/Documentation/Splunk/8.0.5/Data/Usingforwardingagents 下にスクロールして、「フォワーダーの入力を構成する方法」というセクションの「フォワーダーでデータ入力を構成する主な方法は次のとおりです」というサブセクションに進みます。必要な入力が含まれているアプリまたはアドオンをインストールします。参照: https://docs.splunk.com/Documentation/Splunk/8.0.5/Data/Usingforwardingagents

https://docs.splunk.com/Documentation/Splunk/8.0.1/転送/データの転送と受信について
https://docs.splunk.com/Documentation/Forwarder/8.1.1/Forwarder/Configureforwardingwithoutputs.conf#:~:
text=compressed%3Dtrue%20これは、フォワーダーが生のデータを送信することを示します。