Splunk のインデックス作成には、さまざまなソースからのデータの読み取り、ディスクへのデータの書き込み、検索とレポートのためのディスクからのデータの読み取りが含まれるため、読み取り/書き込みが集中します。したがって、パフォーマンス、信頼性、コストの要件に基づいて、各展開に適切なディスク ストレージ ソリューションを選択することが重要です。Splunk インデクサーに推奨される RAID セットアップは、パフォーマンスと信頼性の最適なバランスを提供する RAID 10 (1 + 0) です。RAID 10 は、RAID 1 (ミラーリング) と RAID 0 (ストライピング) の利点を組み合わせたもので、データの冗長性とデータ分散の両方を提供します。RAID 10 は、同じミラーリングされたペアにない限り、複数のディスク障害に耐えることができ、複数のディスクに並行してアクセスできるため、読み取りおよび書き込み速度を向上させることができます2。高性能 SAN (ストレージ エリア ネットワーク) は、 Splunk インデクサーですが、ローカル ディスクよりも高価で複雑なため、お勧めできません。また、SAN では追加のネットワーク遅延と依存関係が発生し、Splunk インデクサーのパフォーマンスと可用性に影響を与える可能性があります。SAN は、読み取り/書き込み負荷が低く、CPU 負荷が高いため、Splunk サーチヘッドに適しています。2 NFS (ネットワーク ファイル システム) は、データ破損、データ損失、およびパフォーマンスを引き起こす可能性があるため、ホット バケットおよびウォーム バケットの保存には使用しないでください。劣化。NFS は、複数のクライアントがリモート サーバー上の同じファイルにアクセスできるようにするネットワーク ベースのファイル システムです。NFS は、Splunk インスタンス間で競合や不整合が発生する可能性があるため、Splunk インデックス レプリケーションおよびサーチ ヘッド クラスタリングと互換性がありません。また、NFS はネットワーク帯域幅と可用性に依存するため、ローカル ディスクよりも遅く、信頼性も低くなります。NFS は、アクセス頻度が低く、Splunk 操作にとって重要性が低いため、コールド バケットおよびフリーズ バケットの保存に使用できます2。仮想化環境は、追加のオーバーヘッドと複雑性が生じる可能性があるため、Splunk インデクサーには通常、ベア メタルよりも好まれません。仮想化環境は、物理リソースやネットワークを他の仮想マシンと共有するため、Splunk インデクサーのパフォーマンスと信頼性に影響を与える可能性があります。仮想化環境では、抽象化と構成のレイヤーが追加されるため、Splunk インデクサーの監視とトラブルシューティングが複雑になる場合もあります。仮想化環境は Splunk インデクサーに使用できますが、最適なパフォーマンスと可用性を確保するには、慎重な計画と調整が必要です2

説明
インデクサー クラスター内のインデックスのレプリケーションをアクティブにするには、すべてのピアノードの Indexes.conf で repFactor 属性を構成する必要があります。この属性は、インデックスのレプリケーション係数を指定します。これにより、クラスターによって維持される生データのコピーの数が決まります。repFactor 属性を auto に設定すると、インデックスのレプリケーションが有効になります。Indexes.conf の replicate 属性は有効な Splunk 属性ではありません。Outputs.conf の repFactor 属性とdeploymentclient.conf のreplicate 属性は、インデクサー クラスター内のインデックスのレプリケーションに関連しません。詳細については、Splunk ドキュメントの「インデクサー クラスターのインデックスの構成」を参照してください。

説明/参照: https://answers.splunk.com/answers/147951/what-is-the-compression-ratio-of-raw-data-in-splunk.html