説明
Enterprise Security をサーチ ヘッド クラスター (SHC) にインストールする場合は、次の手順を実行する必要があります。
Enterprise Security をデプロイヤーにインストールし、デプロイヤーを使用して Enterprise Security をクラスター メンバーにデプロイします。Enterprise Security は、Splunk のセキュリティ分析と監視機能を提供するプレミアム アプリです。Enterprise Security は、アプリやその他の構成を SHC メンバーに配布するスタンドアロン インスタンスであるデプロイヤーを使用して SHC にインストールできます。Enterprise Security は、まずデプロイヤーにインストールしてから、splunk apply shcluster-bundle コマンドを使用してクラスターメンバーにデプロイする必要があります。ステージング インスタンスは SHC 導入プロセスの一部ではないため、Enterprise Security をステージング インスタンスにインストールしないでください。Enterprise Security 構成は、Enterprise Security アプリ パッケージに既に含まれているため、デプロイヤにコピーしないでください。

curl https://serverhost:8089/services/admin/inputstatus/TailingProcessor:FileStatus コマンドは、モニター入力のトラブルシューティング時に末尾ファイルのステータスを確認するために使用されます。モニター入力は、ファイルまたはディレクトリーで新しいデータを監視し、そのデータをインデックス作成のために Splunk に送信する入力です。TailingProcessor:FileStatus エンドポイントは、ファイル名、パス、サイズ、位置、ステータスなど、テーリング プロセッサによって監視されているファイルに関する情報を返します。Splunk cmd btool 入力リスト | tail コマンドは、inputs.conf ファイルからの入力構成をリストし、出力を tail コマンドにパイプするために使用されます。splunk cmd btool check inputslayer コマンドは、入力構成の構文エラーと階層化をチェックするために使用されます。カール
https://serverhost:8089/services/admin/inputstatus/TailingProcessor:Tailstatus コマンドは存在せず、有効なエンドポイントではありません。

Splunk Enterprise ライセンスは、Splunk プラットフォームによって 1 日に取り込まれインデックス付けされるデータの量に基づいています1。ライセンスの対象となるデータは、ユーザーに表示され、Splunk ソフトウェアで検索可能なインデックスに保存されているデータです2。デフォルトで表示および検索可能なインデックスは、メイン インデックスと、ユーザーまたはアプリによって作成されたカスタム インデックスです3。メインインデックスは、特に指定がない限り、Splunk Enterprise がすべてのデータを保存するデフォルトのインデックスです4。
オプション B は正解です。メイン インデックスのデータは、デフォルトで表示および検索可能なインデックスであるため、取り込みベースのライセンスに対してカウントされます。オプション A は不正解です。サマリー インデックスは、スケジュールされたレポートや高速化されたデータ モデルの結果を保存する特別なタイプのインデックスであり、ライセンスにはカウントされません。オプション C は不正解です。_metrics インデックスは、Splunk プラットフォームのパフォーマンスに関するメトリクス データを保存する内部インデックスであり、ライセンスにはカウントされません。選択肢 D は不正解です。
_introspection インデックスは、CPU、メモリ、ディスク、ネットワークの使用状況など、ホスト システムに対する Splunk ソフトウェアの影響に関するデータを保存する別の内部インデックスであり、ライセンスにはカウントされません。
参考文献:
1: Splunk Enterprise ライセンスの仕組み - Splunk ドキュメント 2: ライセンスに対してカウントされるデータは何ですか? - Splunk ドキュメント 3: [インデックスとインデクサーについて - Splunk ドキュメント] 4: [メイン インデックス - Splunk ドキュメント] : [サマリー インデックス作成 - Splunk ドキュメント] : [メトリクス インデックスについて - Splunk ドキュメント] : [モニタリング コンソールについて - Splunk ドキュメント] 】

正解は A です。frozenTimePeriodInSecs をより大きな値に変更します。これは、バケットが凍結されてインデックスから削除されるまでの時間が長くなるため、バケットを解凍する必要性を減らすための可能な解決策です1。FrozenTimePeriodInSecs 属性は、インデックスに含めることができるデータの最大存続期間を秒単位で指定します1。より大きな値に設定すると、Splunk 管理者はデータをインデックスに長期間保存し、バケットを頻繁に解凍する必要がなくなります。他のオプションは、バケットを解凍する必要性を減らす効果的なソリューションではありません。オプション B (maxTotalDataSizeMB をより小さい値に変更する) では、index2 の最大サイズ (メガバイト単位) が減少するため、実際にはバケットを解凍する必要性が増加します。これは、インデックスがより早くサイズ制限に達し、より多くのバケットが凍結および削除されることを意味します。オプション C の maxHotSpanSecs をより大きな値に変更すると、ホット バケットの最大存続期間 (秒単位) が変更されるだけであるため、バケットを解凍する必要性には影響しません3。これは、熱いバケツが長時間熱いままであることを意味しますが、最終的にバケツが凍るのを防ぐことはできません。オプション D の coldToFrozenDir を別の場所に変更しても、凍結されたバケットの宛先ディレクトリが変更されるだけであるため、バケットを解凍する必要性は減りません4。これは、バケットは引き続き凍結され、インデックスから削除されますが、別の場所に保存されることを意味します。したがって、選択肢 A が正解で、選択肢 B、C、D は不正解となります。
1: リタイアおよびアーカイブのポリシーを設定する 2: インデックス サイズを構成する 3: バケットのローテーションと保持 4: インデックス付きデータをアーカイブする