23、Splunk索引管理与部署全解析

Splunk索引管理与部署全解析

1. 索引存储位置

若Splunk安装在 /opt/splunk ，主索引的根路径为 /opt/splunk/var/lib/splunk/defaultdb 。要更改存储位置，可修改 $SPLUNK_HOME/etc/splunk-launch.conf 中 SPLUNK_DB 的值，或在 indexes.conf 中设置绝对路径。由于 indexes.conf 更易管理且便于阅读，推荐使用绝对路径。

2. 创建更多索引的时机

有以下几种情况需要创建额外的索引：
- 测试数据 ：若无测试环境，可使用测试索引暂存新数据。若操作失误，删除测试索引即可轻松恢复。若可能，最好在本地测试新配置。
- 不同的保留时长 ：不同源类型的数据可能需要不同的保留时长。例如，安全日志可能需要保留一年以上，而Web访问日志可能只需保留几周。若将这两种源类型的数据放在同一索引中，它们会一起过期。可按以下步骤拆分：
1. 创建新索引，如 security 。
2. 为 security 索引定义不同的设置，如在 indexes.conf 中配置：

[security]
homePath   = $SPLUNK_DB/security/db
coldPath