マルチサイト インデクサー クラスターは、直接編集して構成できます。
SPLUNK_HOME/etc/system/local/server.conf、または CLI から splunk edit cluster-config コマンドを実行します。
これらのメソッドを使用すると、管理者は各インデクサー ノードのサイト属性と、クラスターの site_replication_factor および site_search_factor を指定できます。Splunk Web 経由でマルチサイト インデクサー クラスターを設定する方法や、SPLUNK_HOME/etc/system/default/server.conf を直接編集する方法はサポートされていません。
詳細については、Splunk ドキュメントの「server.conf を使用したインデクサー クラスターの構成」を参照してください。

システム ローカル ディレクトリは、異なるアプリ内の同じ名前の Splunk 設定ファイルを含む次のディレクトリの中で最も高い優先順位を持ちます。Splunk 設定ファイルは、SPLUNK_HOME/etc ディレクトリの下のさまざまなディレクトリに保存されます。これらのディレクトリの優先順位によって、競合または重複がある場合にどの構成ファイル設定が有効になるかが決まります。SPLUNK_HOME/etc/system/local にあるシステム ローカル ディレクトリは、インスタンスに固有のシステムレベルの設定が含まれるため、すべてのディレクトリの中で最も優先されます。SPLUNK_HOME/etc/system/default にあるシステムのデフォルト ディレクトリは、Splunk によって提供されるシステムレベルの設定が含まれており、変更しないでください。そのため、すべてのディレクトリの中で優先順位が最も低くなります。SPLUNK_HOME/etc/apps/APP_NAME/local にあるアプリのローカル ディレクトリは、SPLUNK_HOME/etc/apps/APP_NAME/default にあるアプリのデフォルト ディレクトリよりも優先されます。これは、ローカル ディレクトリにはアプリが含まれているためです。 - インスタンスに固有の -レベルの構成。一方、デフォルトのディレクトリには、アプリによって提供されるアプリレベルの構成が含まれているため、変更しないでください。アプリのローカル ディレクトリとデフォルト ディレクトリは、アプリ名の ASCII 順序に応じて異なる優先順位を持ち、ASCII 順序で後のアプリ名ほど優先順位が高くなります。

説明
splunk diag --exclude コマンドは、診断の作成時に検索アーティファクトを除外する方法です。diag は、さまざまなログ、設定、その他の情報を含む Splunk インスタンスの診断スナップショットです。
検索アーティファクトは、検索ジョブによって生成され、ディスパッチ ディレクトリに保存される一時ファイルです。
--exclude オプションを使用し、ディスパッチ ディレクトリを指定することで、検索アーティファクトを診断から除外できます。splunk diag --debug --refresh コマンドは、デバッグ ログを有効にして診断を作成し、診断がすでに存在する場合は更新する方法です。--disable オプションが存在しないため、splunk diag --disable=dispatch コマンドは有効なコマンドではありません。splunk diag --filter-searchstrings コマンドは、diag 内の検索文字列から機密情報をフィルターで除外する方法です。

中間フォワーダーは、他のフォワーダーからデータを受信し、そのデータをインデクサーに送信するフォワーダーです。これらは、ネットワーク帯域幅やセキュリティの制約によりインデクサーに直接転送できない場合や、転送中にデータをルーティング、クローン作成、または変更する必要がある場合など、一部のシナリオで役立つ場合があります。
ただし、中間フォワーダーはデータ パイプラインにさらなる複雑さとオーバーヘッドをもたらし、データ取り込みのパフォーマンスと信頼性に影響を与える可能性があります。したがって、中間フォワーダーは可能な限り避け、明確な利点や要件がある場合にのみ使用する必要があります。中間フォワーダーの欠点には次のようなものがあります。
* データ フロー内のホップと接続の数が増加し、遅延や遅延が発生する可能性があります。
* データの損失または破損のリスクが増加します。
* これらは、CPU、メモリ、ディスク、ネットワーク帯域幅など、実行されるホスト上のリソースをより多く消費し、それらのホスト上の他のアプリケーションやプロセスのパフォーマンスに影響を与える可能性があります。
* 入力、出力、負荷分散、セキュリティ、監視、トラブルシューティングの設定など、追加の構成とメンテナンスが必要です。
* クローン作成やルーティング ルールを使用する場合など、適切に構成されていない場合、データの重複や不整合が発生する可能性があります。
この答えをサポートする参考文献の一部は次のとおりです。
* 中間フォワーダーを構成します。「中間フォワーダーは、フォワーダーが 1 つ以上のフォワーダーからデータを受信し、そのデータを別のインデクサーに送信します。この種のセットアップは、たとえば、異なるホストに多数のホストがある場合に便利です。データをインデクサーに転送する前に、これらのフォワーダーからそのリージョンの中央ホストにデータを送信したい場合は、すべての種類のフォワーダーが中間フォワーダーとして機能します。ただし、これにより展開が複雑になり、パフォーマンスに影響を与える可能性があるため、必要な場合にのみ使用してください。」
* ユニバーサルおよびヘビー フォワーダーを使用した中間データ ルーティング: 「このドキュメントでは、技術要件とビジネス要件の両方に対処するデータをルーティングするためのさまざまな Splunk オプションの概要を説明します。 全体的な利点 splunkd 中間データ ルーティングを使用すると、次のような全体的な利点が得られます。このドキュメントで説明されているルーティング戦略により、大規模なデータを確実に処理するための柔軟性が可能になります。中間ルーティングにより、イベントレベルのデータおよび転送中のセキュリティが向上します。以下は、splunkd 中間データ ルーティングのユースケースとイネーブラーのリストです: ...制限事項 splunkd 中間データ ルーティングには次の制限があります: ... 複雑さとリソース消費量の増大 splunkd 中間データ ルーティングはデータ パイプラインに複雑さを加え、それが実行されるホスト上のリソースを消費します。これは、データ インジェストとデータ取り込みのパフォーマンスと信頼性に影響を与える可能性があります。したがって、中間ルーティングは可能な限り避け、明確な利点や要件がある場合にのみ使用する必要があります。」
* フォワーダーを使用して Splunk Enterprise にデータを取得します。これには、「フォワーダーは Apache データを取得し、インデックス作成のために Splunk Enterprise デプロイメントに送信します。これにより、データが統合、保存され、検索に使用できるようになります。リソース フットプリントが削減されるため、 , フォワーダーによる Apache サーバーへのパフォーマンスへの影響は最小限に抑えられます ... 注: 別のフォワーダーにデータを送信し、そのデータをインデクサーに送信するようにフォワーダーを構成することもできます。これは中間転送と呼ばれます。
ただし、これにより展開が複雑になり、パフォーマンスに影響を与える可能性があるため、必要な場合にのみ使用してください。」