説明/参照: https://answers.splunk.com/answers/657187/map-command-field-not-being-evaluated.html

説明/参照: https://docs.splunk.com/Documentation/Splunk/7.3.2/DistSearch/Whatsearchheadssend

説明
サーチ ヘッド クラスターを計画する場合、次のことが当てはまります。すべてのインデクサーは、基礎となるインデクサー クラスターに属している必要があります (スタンドアロン インデクサーは不可)。サーチヘッド クラスターは、構成、アプリ、および検索ジョブを共有するサーチヘッドのグループです。サーチヘッド クラスターにはデータ ソースとしてインデクサー クラスターが必要です。つまり、サーチヘッド クラスターにデータを提供するすべてのインデクサーは同じインデクサー クラスターのメンバーである必要があります。スタンドアロン インデクサー、またはインデクサー クラスターの一部ではないインデクサーは、サーチ ヘッド クラスターのデータ ソースとして使用できません。Splunk バージョンおよびインデクサー クラスターと互換性がある限り、すべてのサーチ ヘッドが同じオペレーティング システムを使用する必要はありません。スタンドアロンのサーチ ヘッドもインデクサー クラスターを検索できるため、すべてのサーチ ヘッドがクラスターのメンバーである必要はありませんが、構成のレプリケーションと負荷分散の利点は得られません。キャプテンは、CPU 負荷、ネットワーク遅延、検索負荷などのさまざまな基準に基づいてクラスター メンバーの中から動的に選出されるため、サーチ ヘッド キャプテンをクラスター内の最大のサーチ ヘッドに割り当てる必要はありません。

すべての検索ヘッド クラスター メンバーに site=site0 を設定すると、検索サイト アフィニティが無効になります。検索サイト アフィニティは、ネットワーク遅延と帯域幅の消費を削減するために、サーチ ヘッドがサーチ ヘッドと同じサイト内にあるピア ノードを優先的に検索できるようにする機能です。site=site0 (サイトがないことを示す特別な値) を設定すると、検索ヘッドはサイトに関係なくすべてのピアノードを検索します。site=site0 を設定しても、すべてのメンバーが動的キャプテンシーに設定されたり、マルチサイト検索アーティファクトのレプリケーションが有効になったり、自動検索サイト アフィニティ検出が有効になったりするわけではありません。動的キャプテンシーは、任意のメンバーがキャプテンになれる機能で、デフォルトで有効になっています。マルチサイト検索アーティファクト レプリケーションは、検索アーティファクトをサイト間でレプリケートできるようにする機能で、site_replication_factor を 1 より大きい値に設定することで有効になります。自動検索サイト アフィニティ検出は、検索ヘッドが次の情報に基づいてサイトを自動的に決定できるようにする機能です。ピアノードへのネットワーク遅延。これは site=auto を設定することで有効になります。

単一サイトからマルチサイトのインデックス レプリケーションへの移行は、既存のデータではなく、新しいデータにのみ影響します。マルチサイト ポリシーは新しいデータにのみ適用されます。つまり、移行後に取り込まれたデータはマルチサイトのレプリケーションと検索要素に従います。既存のデータ、または移行前に取り込まれたデータは、手動でマルチサイト バケットに変換しない限り、単一サイト ポリシーを保持します。単一サイト バケットは、マルチサイト ポリシーを即座には受信しません。また、自動的にマルチサイト バケットに変換されません。マルチサイトの合計値は、クラスター内のピアノードの数を超えない限り、単一サイトの係数を超えることができます。各サイトにマスター ノードは必要ありません。クラスター全体で必要なマスター ノードは 1 つだけです。