説明/参照: https://docs.splunk.com/Documentation/ES/6.1.0/User/EndpointProtectionDomaindashboards

説明
ES アプリケーションは、ES ユーザー インターフェイスを実行し、検索、アラート、レポートを実行するコンポーネントである検索ヘッドにアップロードする必要があります。サーチヘッドは ES 専用にする必要があり、他のアプリケーションは実行しないでください。インデクサーは、データにインデックスを付けてバケットに保存するコンポーネントです。KV ストアは、データをキーと値のペアとして保存および管理する機能です。専用フォワーダーは、さまざまなソースからデータを収集し、それをインデクサーに転送するコンポーネントです。これらのコンポーネントはいずれも ES アプリケーションを実行できません。参考文献
[Splunk Enterprise Securityのインストール]
[Splunk Enterprise アーキテクチャ]

説明
これは、ES がリソースを大量に消費するアプリケーションであり、十分な CPU とメモリを備えた専用の検索ヘッドを必要とするためです。既存のサーチヘッドに ES をインストールすると、パフォーマンスの問題や他のアプリケーションとの競合が発生する可能性があります。CIM に準拠していないアプリはサイトにとってミッションクリティカルであるため、検索ヘッドから削除することはお勧めできません。サーチヘッド上の CPU の数とメモリの量を増やしても、ES やその他のアプリケーションの負荷を処理するには十分ではない可能性があります。したがって、選択肢 B が最も適切な答えです。ES のインストールに関する詳細は、この Web ページで参照できます1。