18、深入探索 Splunk 配置：从基础到高级应用

深入探索 Splunk 配置：从基础到高级应用

1. 配置合并示例

在搜索场景下，配置合并会遵循更复杂的顺序。假设当前工作的应用为 d，我们将按以下顺序合并配置：
1. $SPLUNK_HOME/etc/system/local/props.conf
2. $SPLUNK_HOME/etc/apps/b/default/props.conf
3. $SPLUNK_HOME/etc/apps/d/default/props.conf
4. $SPLUNK_HOME/etc/apps/d/local/props.conf

以下是每次合并后的配置情况：
| 合并步骤 | 配置内容 |
| — | — |
| 1. 起始于 $SPLUNK_HOME/etc/system/local/props.conf | plaintext<br>BREAK_ONLY_BEFORE_DATE = false<br>[web_access]<br>TZ = CST<br> |
| 2. 合并 $SPLUNK_HOME/etc/apps/b/default/props.conf | plaintext<br>BREAK_ONLY_BEFORE_DATE = false<br>[web_access]<br>MAX_TIMESTAMP_LOOKA