説明
次のログは _introspection インデックスに含まれており、Splunk Enterprise デプロイメントがプラットフォーム インストルメンテーションについてログに記録するデータが含まれています。
* ディスクオブジェクト.ログ。このログには、バケット、インデックス、ファイルなど、Splunk が作成および管理するディスク オブジェクトに関する情報が含まれています。このログは、ディスク領域の使用状況とバケットのライフサイクルを監視するのに役立ちます。
* resource_usage.log。このログには、CPU、メモリ、ディスク、ネットワークなどの Splunk プロセスのリソース使用状況に関する情報が含まれています。このログは、Splunk のパフォーマンスを監視し、リソースのボトルネックを特定するのに役立ちます。次のログは _introspection インデックスには含まれていませんが、
_internal インデックス。Splunk が内部ログ用に生成するデータが含まれます。
* 監査ログ。このログには、ユーザーアクション、設定変更、検索アクティビティなど、Splunk が記録する監査イベントに関する情報が含まれています。このログは、Splunk の操作とセキュリティを監査するのに役立ちます。
* metrics.log。このログには、データ スループット、データ レイテンシー、検索の同時実行性、検索時間など、Splunk が収集するパフォーマンス メトリックに関する情報が含まれています。このログは、Splunk のパフォーマンスと効率を測定するのに役立ちます。詳細については、「Splunk Enterprise のログ記録について」を参照してください。
Splunk ドキュメントの [_introspection インデックスについて]。

インデックスの数とサイズを設計するときは、次の考慮事項を適用する必要があります。
* 予想される 1 日あたりの取り込み量: これは、Splunk プラットフォームによって 1 日に取り込まれ、インデックス付けされるデータの量です。これは、Splunk 導入のストレージ容量、インデックス作成パフォーマンス、ライセンスの使用状況に影響します。インデックスの数とサイズは、Splunk 導入でデータ負荷を処理し、ビジネス要件を満たすことができるように、予想される毎日の取り込み量とピーク時の取り込み量に応じて計画する必要があります12。
* データ保持期間ポリシー: これは、データが保存され、Splunk プラットフォームによって検索できる期間です。これは、Splunk 導入のストレージ容量、データの可用性、データ コンプライアンスに影響します。インデックスの数とサイズは、Splunk 導入で必要な期間データを保持し、法的または規制上の義務を確実に満たすことができるように、データ保持時間ポリシーおよびデータ ライフサイクルに従って計画する必要があります13。
* アクセス制御: これは、Splunk ユーザーまたはロールによるデータへのアクセスを許可または制限するためのメカニズムです。これは、Splunk 導入のデータ セキュリティ、データ プライバシー、データ ガバナンスに影響します。インデックスの数とサイズは、Splunk 導入で不正または不適切なアクセスからデータを保護し、倫理または組織の基準を満たすことができるように、アクセス制御およびデータの機密性に応じて計画する必要があります14。
オプション D は、インデックスの数とサイズを設計する際の最も関連性が高く重要な考慮事項を反映しているため、正解です。選択肢 A は不正解です。同時ユーザー数はインデックスの数とサイズを設計するための直接的な要素ではなく、サーチ ヘッドの容量とサーチ ヘッドのクラスタリング構成を設計するための要素であるからです5。選択肢 B は不正解です。インストールされているアプリの数は、インデックスの数とサイズを設計するための直接的な要因ではなく、アプリの互換性とアプリのパフォーマンスを設計するための要因です。オプション C は、インデックスの数とサイズを設計する上で重要な要素である、予想される毎日の取り込み量が省略されているため、不正解です。
参考文献:
1: Splunk 検証済みアーキテクチャ 2: [インデクサーのキャパシティ プランニング] 3: [インデックスのリタイアおよびアーカイブ ポリシーの設定] 4: [Splunk Enterprise のセキュリティについて] 5: [サーチヘッドのキャパシティ プランニング] : [アプリのインストールと管理の概要]

説明/参照: https://docs.splunk.com/Documentation/Splunk/7.3.2/DistSearch/SHCarchitecture#role_of_the_captain