説明
インデックス作成のパフォーマンスを最大化するためのベスト プラクティスは、構成の汎用性を最小限に抑えることです。構成の汎用性とは、ソース タイプ、ホスト、インデックス、タイムスタンプなどのデータ入力に対する汎用設定またはデフォルト設定の使用を指します。構成の汎用性を最小限に抑えるということは、各データ入力に具体的で正確な設定を使用することを意味し、これにより処理のオーバーヘッドが削減され、インデックス作成のスループットが向上します。自動ソース タイピングの使用、Splunk のデフォルト設定の使用、および事前トレーニングされたソース タイプの使用なしは、構成の一般性の例であり、インデックス作成のパフォーマンスに悪影響を与える可能性があります。

以下は、サーチ ヘッド クラスター デプロイヤの推奨事項です。 デプロイヤは、複製不可能な構成をサーチ ヘッド クラスタ メンバーに配布するために使用する必要があります。レプリケート不可能な構成とは、アプリやserver.conf設定などの検索要素によってレプリケートされない構成です。デプロイヤーは、これらの設定をサーチヘッドクラスターメンバーに配布し、それらが同じ設定であることを保証する Splunk サーバーの役割です。デプロイヤは、サーチ ヘッド クラスタ メンバーが「ホームに電話」するときに構成を配布するだけではありません。これにより、構成の不一致や遅延が発生する可能性があります。
デプロイヤーは、構成が有効な構成となるようにサーチ ヘッド クラスター メンバーに構成を配布しません。これは、構成がデプロイヤなしでは無効であることを意味します。デプロイヤは、splunk apply shcluster-bundle を使用して検索ヘッド クラスター メンバーに設定を配布するだけではありません。これは、管理者による手動介入が必要となるためです。詳細については、Splunk ドキュメントの「デプロイヤを使用してアプリと設定の更新を配布する」を参照してください。

インデクサー検出機能を使用すると、フォワーダーはインデクサー クラスター内の使用可能なピア ノードに動的に接続できます。この機能を使用するには、マネージャー ノードを [indexer_discovery] スタンザと pass4SymmKey 値で構成する必要があります。フォワーダーも、同じ pass4SymmKey 値とマネージャー ノードの master_uri を使用して構成する必要があります。pass4SymmKey 値は、splunk _encrypt コマンドを使用して暗号化する必要があります。したがって、オプション A は、pass4SymmKey 値が暗号化されていないため、インデクサー検出機能がマネージャー ノード上で完全には構成されていないことを示します。他のオプションは、インデクサー検出機能に関連しません。オプション B は、インデクサー クラスターの一部であるフォワーダーの構成を示します。
オプション C は、インデクサー クラスターの一部であるマネージャー ノードの構成を示しています。オプション D は、pass4SymmKey 値が暗号化されておらず、フォワーダーの pass4SymmKey 値と一致しないため、[indexer_discovery] スタンザの無効な構成を示しています12
1: https://docs.splunk.com/Documentation/Splunk/9.1.2/Indexer/indexerdiscovery 2:
https://docs.splunk.com/Documentation/Splunk/9.1.2/Security/Secureyourconfigurationfiles#Encrypt_the_pass4S

説明/参照: https://docs.splunk.com/Documentation/Splunk/7.3.1/DistSearch/Adhocclustermember

説明/参照: https://docs.splunk.com/Documentation/Splunk/7.3.1/Troubleshooting/ プラットフォーム計測フレームワークについて