説明
以下は、サーチ ヘッド クラスター デプロイヤの推奨事項です。 デプロイヤは、複製不可能な構成をサーチ ヘッド クラスタ メンバーに配布するために使用する必要があります。レプリケート不可能な構成とは、アプリやserver.conf設定などの検索要素によってレプリケートされない構成です。デプロイヤーは、これらの設定をサーチヘッドクラスターメンバーに配布し、それらが同じ設定であることを保証する Splunk サーバーの役割です。デプロイヤは、サーチ ヘッド クラスタ メンバーが「ホームに電話」するときに構成を配布するだけではありません。これにより、構成の不一致や遅延が発生する可能性があります。
デプロイヤーは、構成が有効な構成となるようにサーチ ヘッド クラスター メンバーに構成を配布しません。これは、構成がデプロイヤなしでは無効であることを意味します。デプロイヤは、splunk apply shcluster-bundle を使用して検索ヘッド クラスター メンバーに設定を配布するだけではありません。これは、管理者による手動介入が必要となるためです。詳細については、Splunk ドキュメントの「デプロイヤを使用してアプリと設定の更新を配布する」を参照してください。

説明/参照: https://docs.splunk.com/Documentation/Splunk/7.3.2/DistSearch/SHCarchitecture

フォワーダーは $SPLUNK_HOME/etc/system/local にある古いデプロイメント サーバーを使用するように設定されているため、すべてのフォワーダーは依然として古いデプロイメント サーバーに電話をかけ続けます。これは、デフォルト設定をオーバーライドする設定が含まれるローカル構成ディレクトリです。
$SPLUNK_HOME/etc/system/default。ローカル ディレクトリ内のdeploymentclient.conf ファイルは、フォワーダーが構成の更新とアプリのために接続するデプロイメント サーバーの targetUri を指定します。フォワーダーがローカル ディレクトリに古いデプロイメント サーバーの targetUri を持っている場合、ローカル設定はデプロイされた設定よりも優先されるため、フォワーダーは古いデプロイメント サーバーによってデプロイされた更新されたdeploymentclient.conf ファイルを無視します。この問題を解決するには、フォワーダーはローカル ディレクトリからdeploymentclient.conf ファイルを削除するか、新しいデプロイメント サーバーの targetUri でファイルを更新する必要があります。
選択肢 C が正解です。オプション A は不正解です。フォワーダーと新しいデプロイメント サーバーのバージョンが一致しない場合でも、バージョンに互換性がある限り、フォワーダーが新しいデプロイメント サーバーに電話をかけることは妨げられません。オプション B は不正解です。新しい展開サーバーが構成されて実行されており、フォワーダーからの接続を受け入れていない兆候はないからです。
pass4SymmKey は展開サーバーとフォワーダーが相互に認証するために使用する共有秘密キーであるため、オプション D は不正解です。両側で同じである限り、新しい展開サーバーに電話をかけるフォワーダーの機能には影響しません12。
1: https://docs.splunk.com/Documentation/Splunk/9.1.2/Updating/Configuredeploymentclients 2:
https://docs.splunk.com/Documentation/Splunk/9.1.2/Admin/設定ファイルの場所

正解は C です。ParallelngestionPipelines 属性を増やします。これは、フォワーダーが複数のデータ入力を並行して処理できるようにするため、フォワーディング層でパフォーマンス上の利点を提供する可能性がある、limits.conf のオプションです1。ParallelngestionPipelines 属性は、フォワーダーがさまざまなソースからデータを取り込むために使用できるパイプラインの数を指定します1。この値を増やすことで、フォワーダーはスループットを向上させ、データ配信の遅延を短縮できます1。他のオプションは、転送層でパフォーマンス上の利点を提供する効果的なオプションではありません。オプション A (indexed_realtime_use_by_default 属性を有効にする) は、フォワーダーがデータを受信するとすぐにインデクサーにデータを送信できるようにするため、推奨されません。これにより、ネットワークと CPU の負荷が増加し、パフォーマンスが低下する可能性があります2。オプション B の maxKBps 属性を増やすことは、フォワーダーがインデクサー 3 にデータを送信するために使用できる最大帯域幅 (キロバイト/秒) を増やすため、適切なオプションではありません。これにより、データ転送速度が向上する可能性がありますが、ネットワークが飽和状態になり、輻輳やパケット損失が発生する可能性もあります3。オプション D の max_searches_per_cpu 属性を増やすことは、インデクサーまたは検索ヘッドの検索パフォーマンスにのみ影響し、フォワーダー 4 の転送パフォーマンスには影響しないため、関係ありません。したがって、選択肢 C が正解で、選択肢 A、B、D は不正解となります。
1: 並列取り込みパイプラインを構成する 2: リアルタイム転送を構成する 3: フォワーダー出力を構成する 4:
検索パフォーマンスを構成する