高速ソースでインデクサーへの転送遅延が発生しないようにするには、limits.conf の maxKBps のデフォルト制限を増やす必要があります。このパラメータは、フォワーダーがインデクサーにデータを送信するために使用できる最大帯域幅を制御します。デフォルトでは 256 KBps に設定されていますが、大容量のデータ ソースには不十分な場合があります。この制限を増やすと、転送遅延が短縮され、フォワーダーのパフォーマンスが向上します。ただし、これはネットワーク帯域幅とインデクサーの負荷に影響を与える可能性があるため、注意して行う必要があります。選択肢 B が正解です。オプション A は不正解です。server.conf の sessionTimeout パラメータは、帯域幅制限ではなく、フォワーダーとインデクサー間の TCP 接続の継続時間を制御するためです。オプション C は不正解です。outputs.conf の ForceTimebasedAutoLB パラメーターは、帯域幅制限ではなく、インデクサー間の負荷分散の頻度を制御するためです。オプション D は不正解です。帯域幅制限ではなく、deploymentclient.conf のphoneHomelintervalllnSecs パラメータがフォワーダがデプロイメント サーバーに接続する間隔を制御するためです12。
1: https://docs.splunk.com/Documentation/Splunk/9.1.2/Admin/Limitsconf#limits.conf.spec 2:
https://docs.splunk.com/Documentation/Splunk/9.1.2/Forwarding/Routeandfilterdatad#Set_the_maximum_bandw

Splunk のドキュメント 1 によると、インデクサー クラスター ナレッジ バンドルは、クラスター マスターがクラスター設定バンドルの一部としてピア ノードに配布する設定ファイルです。ナレッジ バンドルには、データのインデックス付けと検索に関連するイベント タイプ、タグ、ルックアップなどのナレッジ オブジェクトが含まれています。クラスター マスターは、マスター ノード上に存在するアプリの app-name/default ディレクトリと app-name/local ディレクトリをマージすることにより、ナレッジ バンドルを作成します。次に、クラスター マスターはナレッジ バンドルをピア ノードにプッシュします。ナレッジ バンドルはピア ノードの下に存在します。
$SPLUNK_HOME/var/run ディレクトリ 2. 他のオプションは次の理由から false です。
※アプリ名/ローカルのみプッシュされます。これは false です。クラスター マスターは、app-name/default ディレクトリと app-name/local ディレクトリの両方をマージした後、ピア ノードにプッシュするからです。app-name/local ディレクトリにはアプリ構成のローカル カスタマイズが含まれ、app-name/default ディレクトリにはデフォルトのアプリ構成が含まれます3。
※アプリ名/デフォルトのみプッシュされます。これは false です。クラスター マスターは、app-name/default ディレクトリと app-name/local ディレクトリの両方をマージした後、ピアノードにプッシュするからです。app-name/default ディレクトリにはデフォルトのアプリ構成が含まれ、app-name/local ディレクトリにはアプリ構成のローカル カスタマイズが含まれます3。
※ app-name/default と app-name/local はそのままプッシュされます。これは false です。クラスターが
* マスターは、ピアノードにプッシュする前に、app-name/default ディレクトリと app-name/local ディレクトリをマージします。これにより、ピア ノードにアプリの最新かつ一貫した構成が確実に適用されます3。

検索ピアをさらに追加し、フォワーダーがすべてのインデクサーにデータを均等に分散するようにすると、分散展開のキャパシティに近づいたときに検索パフォーマンスが最大限に向上します。
検索ピアをさらに追加すると、検索の同時実行性が向上し、各インデクサーの負荷が軽減されます。
すべてのインデクサーにデータを均等に分散すると、検索ワークロードのバランスが確保され、ボトルネックになるインデクサーがなくなります。インデクサー ストレージを SSD に交換すると検索パフォーマンスが向上しますが、コストと時間がかかるオプションです。インデクサーがボトルネックになっている場合、検索ヘッドを追加しても検索パフォーマンスは向上しません。低速検索をオフピーク時に実行するようにスケジュールを変更すると、検索の競合は軽減されますが、個々の検索の検索パフォーマンスは向上しません。詳細については、Splunk ドキュメントの「インデクサー クラスターのスケール」および「インデクサー全体にデータを分散する」を参照してください。

説明
https://docs.splunk.com/Documentation/Splunk/7.3.2/DistSearch/SHCarchitecture

Splunk のドキュメント1 によると、「Unknown sid」エラー メッセージは、リンクに関連付けられた検索ジョブの有効期限が切れたか、削除されたことを意味します。sid (検索 ID) は、検索ジョブごとに一意の識別子であり、検索結果を取得するために使用されます。SID が見つからない場合、検索は表示できません。
他のオプションは次の理由から false です。
* ユーザーの権限が不十分な場合は、「このページを表示する権限がありません」または「この検索を実行する権限がありません」など、別のエラー メッセージが表示されます1。
* 更新が必要なアドオンは、検索が無効またはアクセス不能になるような方法で検索構文またはデータ ソースを変更しない限り、SID の有効性には影響しません1。
* SID はインデクサーではなくサーチヘッドに保存されるため、1 つ以上のインデクサーが停止しても「不明な SID」エラーは発生しません。ただし、「ピアに配布できません」や「検索ピアに次のメッセージが表示されます: ディスク容量が不足しています」など、他のエラーが発生する可能性があります1。