21、Splunk配置与高级部署全解析

Splunk配置与高级部署全解析

1. Splunk配置文件详解

在Splunk系统中，有多个重要的配置文件，它们各自承担着不同的功能。
- authorize.conf ：该配置文件用于存储功能和角色的定义，这些设置会影响搜索和Web界面。通常可以通过“Manager | Access controls”界面进行管理，但直接查看配置文件也很有帮助。以下是一个角色定义的示例：

[role_power]
importRoles = user
schedule_search = enabled
rtsearch        = enabled
srchIndexesAllowed = *
srchIndexesDefault = main
srchDiskQuota   = 500
srchJobsQuota   = 10
rtSrchJobsQuota = 20

各参数解释如下：
- importRoles ：从其他角色导入功能的列表，最终的功能集合是导入角色的功能和新增功能的合并。
- schedule_search和rtsearch ：为“power”角色启用的两个功能，导入的角色不一定启用这些功能。
- srchIndexesAllowed ：该角色允许搜索的索引，这里表示允许搜索所有索引。
- srchIndexesDefault ：默认搜索的索引，此