これは、ナレッジ バンドルのレプリケーション中に .delta レプリケーションが失敗した場合の Splunk のフォールバック方法です。ナレッジ バンドルのレプリケーションは、ルックアップ、マクロ、フィールド抽出などのナレッジ オブジェクトをサーチ ヘッド クラスターからインデクサー クラスターに分散するプロセスです1。Splunk は、.delta レプリケーションと .bundle レプリケーション 1 という 2 つのナレッジ バンドル レプリケーション方法を使用します。デルタ レプリケーションは、ナレッジ オブジェクトに対する変更または更新のみをレプリケートするため、デフォルトで推奨される方法であり、ネットワーク トラフィックとディスク領域の使用量が削減されます1。ただし、破損したファイルやネットワーク エラーなどの何らかの理由で .delta レプリケーションが失敗した場合、Splunk は変更や更新に関係なく、ナレッジ バンドル全体を複製する .bundle レプリケーションに自動的に切り替わります1。これにより、ナレッジ オブジェクトがサーチ ヘッド クラスターとインデクサー クラスター間で常に同期されるようになりますが、より多くのネットワーク帯域幅とディスク領域を消費します1。他のオプションは、Splunk の有効なフォールバック方法ではありません。オプション A の splunkd の再起動は、ナレッジ バンドルのレプリケーションの方法ではなく、ノード 2 で Splunk デーモンを再起動する方法です。これにより、.delta レプリケーションの失敗が修正される場合と修正されない場合がありますが、ナレッジ オブジェクトの同期は保証されません。オプション B の .δ レプリケーションはフォールバック方法ではなく、質問 1 で失敗したと想定されるナレッジ バンドル レプリケーションの主要な方法です。オプション D の mongod の再起動は、ナレッジ バンドル レプリケーションの方法ではなく、ノード 3 上で MongoDB デーモンを再起動する方法です。これはナレッジ バンドルのレプリケーションではなく、別のプロセスである KV ストアのレプリケーションに関連しています3。したがって、選択肢 C が正解で、選択肢 A、B、D は不正解となります。
1: ナレッジバンドルのレプリケーションの仕組み 2: Splunk Enterprise の起動と停止 3: KV ストアの再起動

テクニカル アドオン (TA) は、データ収集、解析、強化のための設定を含む Splunk アプリです。また、データ モデルのイベント データを有効にすることもできます。これは、ダッシュボードやレポートの作成に役立ちます。
したがって、TA をインストールする前に、データ モデルを使用するスケジュールされた検索またはリアルタイム検索の数を特定し、TA がデータ モデルのイベント データを有効にするかどうかを検証することが重要です。TA はフォワーダーではなくインデクサーまたはサーチ ヘッドにインストールされるため、TA がサポートできるフォワーダーの数は関係ありません。TAの設置場所はデータの種類やユースケースによって異なるため、固定的な要件ではありません

Splunk のドキュメント 1 によると、クラスター化インデックス内のバケットには、圧縮形式の生データ (rawdata) と生データを指すインデックス (tsidx ファイル) の 2 つの主要なタイプのファイルが含まれています。バケットは、両方のタイプのファイルが含まれるか、生データ ファイルのみが含まれるかに応じて、複製または検索可能になります。複製されたバケットは、データ複製の目的で、あるピアノードから別のピアノードにコピーされたバケットです。検索可能なバケットは、rawdata ファイルと tsidx ファイルの両方を含むバケットであり、検索ヘッドによって検索できます。クラスター化インデックス内のバケットに存在するファイルの種類は次のとおりです。
* 検索可能なバケット内には、tsidx と rawdata が存在します。検索可能なバケットにはデータとインデックス ファイルの両方が含まれており、検索ヘッド 1 によって検索できるため、これは当てはまります。
* 複製されたバケット内には、tsidx と rawdata の両方が存在します。データ ファイルとインデックス ファイルの両方が含まれている場合、レプリケートされたバケットは検索可能なバケットにもなり得るため、これは当てはまります。ただし、レプリケーション係数と検索係数の設定によっては、一部のバケットには生データ ファイルのみが存在する可能性があるため、レプリケートされたバケットのすべてが検索可能であるわけではありません1。
他のオプションは次の理由から false です。
* 複製されたバケット内には生データのみが存在します。複製されたバケットが検索可能なバケットである場合、そのバケットにも tsidx ファイルが存在する可能性があるため、これは false です。複製されたバケットが検索不可能なバケットの場合、レプリケートされたバケットには生データ ファイルのみが含まれます。つまり、別のピア ノード 1 から tsidx ファイルを取得するまで、サーチ ヘッドによる検索はできません。
※検索可能なバケット内にはtsidxのみが存在します。これは、データの検索に必要なため、検索可能なバケットには常に tsidx ファイルと rawdata ファイルの両方が含まれるため、これは false です。検索可能なバケットには、tsidx ファイルが指す実際のデータが含まれているため、生データ ファイルがなければ存在できません1。