Splunk5.0管理员手册：大数据分析操作指南

需积分: 11 145 浏览量更新于2024-07-21 收藏 1.91MB PDF 举报

"Splunk Admin 操作手册" Splunk是一款强大的大数据分析工具，它主要用于收集、索引、搜索、监视和分析机器生成的数据。本手册是针对 Splunk 管理员的专业指南，适用于 Splunk 5.0 版本，旨在帮助用户熟练掌握在*nix（Unix-like）和Windows系统上的Splunk管理。手册内容涵盖多个方面： 1. **欢迎使用Splunk管理**：这部分向新用户介绍Splunk的基本概念和功能，帮助他们快速熟悉 Splunk 的管理界面和工作流程。 2. **在*nix和Windows上运行Splunk的功能差异**：这部分详细解释了在不同操作系统上运行Splunk时需要注意的特性和配置差异。 3. **如何开始**：包括启动和停止Splunk的步骤，以及如何配置Splunk在系统启动时自动运行。 4. **安装您的许可证**：讲解了如何安装和管理Splunk许可证，这对于商业使用至关重要。 5. **更改默认值**和**将Splunk绑定到某个IP**：指导用户如何自定义Splunk的设置，包括改变端口绑定和IP地址。 6. **配置Splunk以使用IPv6**：对于支持IPv6的网络环境，提供了相应的配置指南。 7. **使用Splunk网站**：介绍了Splunk的Web界面——Splunk Manager，以及如何指定代理服务器进行网络通信。 8. **Windows管理员入门**：专为Windows平台的管理员提供，涵盖了Windows环境下特有的管理和配置事项。 9. **管理Splunk许可证**：详细阐述了Splunk许可证的工作原理，包括许可证类型、组、堆叠、池的概念，以及如何安装、配置许可证服务器和管理许可证。 10. **认识Splunk应用**：解释了什么是应用和加载项，以及如何获取更多的应用和加载项来扩展Splunk的功能。 11. **应用架构和对象所有权**：深入讨论了应用的结构和配置，包括如何管理应用的对象和属性。 12. **配置Splunk**：提供了多种配置Splunk的方法，包括通过管理器和命令行界面（CLI）。 13. **管理应用和加载项对象**：涵盖了配置应用配置和属性的详细过程。手册还包括了性能优化、系统映像集成、许可证迁移、许可证违规处理等方面的内容，确保管理员能够有效地监控和管理企业的数据流，同时利用Splunk进行高效的数据分析和故障排除。无论你是初学者还是经验丰富的IT专业人士，这份手册都将是你在Splunk世界中的宝贵参考。

Splunk 网站网站是 Splunk 的动态、交互式且基于浏览器的界面。Splunk 网站是调查问题、报告结果和管理 Splunk 部

署的主要界面。参考系统要求以获得所支持的操作系统和浏览器列表。

启动启动 Splunk 网站网站

导航到：

http://mysplunkhost:<port>

使用您在安装期间选择的主机和端口。

当您使用 Enterprise 许可证首次登录 Splunk 时，默认的登录信息为：

用户名用户名 - admin

密码密码 - changeme

注意：注意：使用免费许可证的 Splunk 不具有访问控制，因此您不会被提示输入登录信息。

注意：注意：从 Splunk 版本 4.1.4 起，您无法从远程浏览器访问 Splunk Free，除非您已编辑

$SPLUNK_HOME/etc/local/server.conf 并将 allowRemoteLogin 设为 Always。如果您在运行 Splunk Enterprise，则默认情况

下禁止管理员用户远程登录（设为 requireSetPassword），除非您更改了默认密码。

Splunk 主页主页

当您首次登录 Splunk 时，您将进入 Splunk 主页。在页面顶部具有两个选项卡：欢迎欢迎和 Splunk 主页主页。在“欢迎”屏幕

上设有一个添加数据添加数据按钮，此按钮可以带您进入一个包含数据类型列表的页面，您可以配置 Splunk 以针对这些数据

类型建立索引。

要查看您已安装的应用应用，单击 Splunk 主页主页：

在此页面上，您可以从当前可用的应用列表中选择一个应用。要查找更多应用，请单击查找更多应用查找更多应用按钮。

继续阅读以获得关于应用的更多信息。

查找查找 Splunk 管理器管理器

Splunk 网站提供了一个方便的界面来管理大多数 Splunk 的操作，它称为 Splunk 管理器管理器。要访问该管理器，请在

Splunk Web 右上方找到相应的链接：

参阅“关于 Splunk 管理器”以获得有关如何使用该管理器来配置 Splunk 的信息。

指定代理服务器指定代理服务器

如果 Splunk 网站位于代理服务器之后，您可能会在 Splunk 网站链接尝试访问 Splunk 网站时遇到问题。例如，某些

管理器页面会直接链接到 Splunk 应用下载网站。

要避免这些问题，您需要设置 http_proxy 环境变量。要获得永久性结果，您可以在 splunk-launch.conf 配置文件中指

定设置，该文件位于 $SPLUNK_HOME/etc/（*nix 系统）和 %SPLUNK_HOME%\etc\（Windows 系统）中。

在 splunk-launch.conf 中，添加以下属性/值对：

http_proxy = <IP address or host name>:<port number>

例如：

http_proxy = 10.1.8.11:8787

重要提示：重要提示：如果代理服务器仅处理 HTTPS 请求，则需要使用以下属性/值对：

https_proxy = <IP address or host name>:<port number>

例如：

https_proxy = 10.1.8.11:8888

Windows 管理员入门管理员入门

Windows 管理员简介管理员简介

欢迎您！

这是适用于 Windows 管理员的入门章节。如果您正在寻找有关 Splunk for Windows 的信息，那么本章刚好可以满足

您的需求。

本章的目的是什么？本章的目的是什么？

Splunk 是一款功能强大、高效的工具，它可以帮助 Windows 管理员解决在 Windows 网络上出现的问题。它提供

了“即装即用”的功能集，使其成为 Windows 管理员工具箱内的秘密武器。它可以通过添加应用来增加自身功能，因

此使其具有更高的可扩展性。此外，它还拥有一个不断扩大、兴旺的用户社区。

我们根据用户组的需求来撰写这部分内容。希望它成为适用于 Windows 管理员参考的资源中心，以帮助他们从

Splunk 中得到最多的益处。它提供了有关如何在 Windows 上安装、评估、部署、维护和故障排除 Splunk 的文档和

链接。这将方便 Windows 客户参考特定的引用和程序，以了解如何在 Windows 上实施和自定义您的 Splunk 体验。

如何使用本章如何使用本章

本章包括多个主题，以帮助您试验、学习、部署和充分利用 Splunk。这些主题将参考在 Splunk 文档中 Windows 管

理员会感兴趣的其他材料。

试用试用 Splunk 介绍如何评估 Splunk。在本章中，您将了解到 Splunk 是什么。您还将了解到如何安装它，以及在安装

之前需要满足哪些系统要求。该主题适合那些从未在 Windows 上使用过 Splunk 的人，以及想要评估产品的初学

者。

了解了解 Splunk 可以做什么可以做什么介绍 Splunk 的操作。它提供了多个领域的文档链接，这些文档详细介绍如何针对导入

Splunk 的数据建立索引、搜索、报告和告警。在该主题中，您将了解到 Splunk 在 Windows 平台上的工作方式，以

及它可以监视哪些 Windows 组件。该主题适用于那些想要了解 Splunk 内部工作的管理员。

将将 Splunk 集成到您的企业中集成到您的企业中提供有关如何将 Splunk 添加到现有 Windows 网络或整合到新网络中的指导说明。它

适用于高级管理员或 IT 总监。在该主题中包含了一些有关 Splunk 集成的高级规划方案，以及有关如何将 Splunk 整

合到系统和网络中的各种分步程序。

充分利用充分利用 Splunk 适用于那些已经将 Splunk 集成到其环境中，并需要参考或提示以保持 Splunk 运行的管理员或经

理。它提供了有关在操作过程中出现的 Windows 特定问题的故障排除提示信息。

根据您的情况和经验水平，您可以在闲暇时阅读其中一个或多个主题。您可以按部就班，也可以直接前往最贴合您需

求的主题。之后，您可以再根据需要使用此主题作为参考。

那些之前未在 Windows 上使用过 Splunk 的用户应通读本章。如果您已知道如何使用 Splunk，且只需要技术或参考

信息，那么后面的主题更能满足您的需求。

当您需要帮助时当您需要帮助时

如果您打算深入了解 Splunk 知识，我们提供有大量的教育课程。

如果您在使用过程中遭遇困难，Splunk 拥有庞大免费的支持基础设施向您提供帮助：

Splunk Answers。

Splunk 维基社区。

Splunk Internet Relay Chat (IRC) 通道 (EFNet #splunk)。（需要 IRC 客户端）

如果您的问题仍然未能解决，您可以联系 Splunk 的支持团队。在“联系支持”页面上会提供具体的做法。

注意：注意：社区级别以上的支持级别需要具备 Enterprise 许可证。要获得此许可证，您需要联系我们的销售团队。

感谢您的阅读！

试用试用 Splunk

您可能很想确切地知道 Splunk 是如何工作的，以及更重要的-它可以为您做些什么。获得答案的最快、最简单的方法

是尝试使用它。您可以使用台式或笔记本电脑来对产品执行初始评估。以下是一些初始步骤：

1. 审查系统要求。这是一项非常重要的初始步骤，它可以帮助您确定哪些类型的计算机能够运行 Splunk。

注意：注意： Splunk 的资源需求取决于您要用它来做什么。在评估 Splunk 时的系统要求取决于您要评估 Splunk 的哪些部

分。如果您要评估诸如日志文件集合或性能监视等功能，则 Splunk 不会为您的台式或笔记本电脑带来太多负担。您

还可以在虚拟机上对其进行评估。不过，如果您使用它来处理大量数据，Splunk 可能非常耗费资源。

即使用于评估，Splunk 仍建议您在服务器上安装该软件。为了获得更好的评估体验，可以在您希望捕获的数据的服

务器上安装该软件。此外，服务器更适合用于处理耗费资源型的评估任务。

生产实例需要在硬件规划上进行更多的考虑，因此我们在《安装手册》中专门撰写了关于这方面的相应主题。请确保

阅读关于生产级部署所需的硬件特定信息的主题，以及 Splunk 在生产级部署中应如何分散的主题。

在您运行 Splunk 之前，始终确保您拥有满足特定需求所需的计算能力。

2. 了解 Splunk 可以访问哪些类型的 Windows 数据（来自《数据导入手册》）。

3. 阅读《用户手册》中“在您开始学习教程之前”的主题，以了解相关的预先评估信息和分步 Windows 安装说明。

4. 在您的评估系统上安装 Splunk。

5. 尝试 Splunk 教程教程。这是了解如何开始评估产品的最佳方式。

了解了解 Splunk 可以做什么可以做什么

在您试用 Splunk 之后，您需要了解它如何帮助您控制您的 Windows 数据。如果您想了解 Splunk 与其他工具（如

Microsoft 的 System Center 套件）相比如何，或者您可以如何使用 Splunk 来加强您的日常系统管理任务，请阅读这

部分。

了解如何使用 Splunk 提供的各种 Windows 特定数据导入机制将数据导入 Splunk 中，包括导入事件日志、注册表等

等。或者，了解 Splunk 如何监视性能或 Active Directory 更改。

其他感兴趣的 Windows 主题：

有关所有已安装的 Splunk for Windows 服务的概述（来自《安装手册》）

Splunk 可以监视什么（来自《数据导入手册》）

有关确定如何监视远程 Windows 数据的注意事项（来自《数据导入手册》）。阅读该主题以获得有关如何从

多个远程计算机获取数据的重要信息。

合并来自多台计算机的数据（来自《分布式部署手册》）

其他有用的信息：

我的数据存储在哪里？（来自《数据导入手册》）

使用 Splunk 的命令行界面 (CLI)（来自《数据导入手册》）

来源、来源类型和字段（来自《数据导入手册》）

字段和字段提取（来自《知识管理器手册》）

实时搜索（来自《用户手册》）

保存的搜索（来自《用户手册》）

仪表板创建（来自《用户手册》）

将将 Splunk 集成到您的企业中集成到您的企业中

现在，您已评估了该产品，并且知道它如何帮助您更好地了解 Windows 数据，接下来，您可以部署它以获取来自您

的网络上所有计算机的数据。

集成是部署 Splunk 过程中的关键步骤，需要细致的规划。这部分帮助您确定最佳的集成方法以获得顺利的集成体

验。有多种方法可以开始使用：

浏览在 Windows 上部署 Splunk 主题以获得一些典型部署方案信息。

研读如何在系统映像上加入 Splunk。

了解 Splunk 的分布式部署操作。（来自《分布式部署手册》）

在您将 Splunk 安装到您的 Windows 计算机之后，您可以：

弄清如何配置告警。（来自《管理员手册》）

使用部署监视器部署监视器来管理您的 Splunk 实例上的配置文件。

充分利用充分利用 Splunk

一旦您将 Splunk 安装并集成到您的网络，除了执行其他任务以外，您可以：

了解如何保持高性能地运行。

了解无法高效运行时如何修复。

通过各种插件来扩展 Splunk 的操作，例如 Windows 应用、Microsoft Exchange 应用、添加对 Microsoft 的

System Center Operations Manager 的支持等。

优化优化 Splunk 以获得高性能以获得高性能

与许多服务一样，在 Windows 上的 Splunk 也需要适当的维护，以便保持高性能运行。本主题介绍您可以在部署期

间或之后采用哪些方法来确保在 Windows 上的 Splunk 能够正常运行。

要确保 Splunk 高性能运行：

指定一台或多台计算机来运行指定一台或多台计算机来运行 Splunk。。 Splunk 具有水平或横向伸缩性。这意味着通过增加运行 Splunk 的计

算机台数，而不是增加单台计算机的资源，可以获得更高的性能。如可行，应拆分建立索引和搜索活动并在多

台计算机上运行，在这些计算机上只运行主要的 Splunk 服务。除了通用转发器之外，如果在运行与其他服务

共享的服务器上运行 Splunk，则性能会降低。

针对您的针对您的 Splunk 索引使用专用高速磁盘。索引使用专用高速磁盘。用于 Splunk 建立索引的系统可用磁盘越快，Splunk 的运行速度也

越快。如可行，使用主轴转速超过 10,000 RPM 的磁盘。如需针对 Splunk 使用冗余存储，使用基于硬件的

RAID 1+0（也称为 RAID 10）。它提供了速度和冗余性之间的最佳平衡。不建议使用通过 Windows 磁盘管理

工具提供的基于软件的 RAID 配置。

不允许防毒程序扫描用于运行不允许防毒程序扫描用于运行 Splunk 作业的磁盘。作业的磁盘。当防毒文件系统驱动器对访问文件执行病毒扫描时，性能

会显著降低，尤其是当 Splunk 内部老化最近建立索引的数据时。如果您必须在运行 Splunk 的服务器上使用防

毒程序，则必须确保

所有

Splunk 目录和程序被排除在访问文件时的扫描之外。

如可用，使用多个索引。如可用，使用多个索引。将由 Splunk 建立索引的数据分散到不同索引中。将所有数据发送到默认索引可能会

导致您的系统出现 I/O 瓶颈问题。应根据情况配置您的索引，以使其尽量指向系统中的不同物理卷。有关如何

配置索引的更多信息，请参阅本手册中的“配置您的索引”。

不要将您的索引存储在操作系统所在的同一物理磁盘或分区上。不要将您的索引存储在操作系统所在的同一物理磁盘或分区上。不建议将存储有 Windows 操作系统目录

(%WINDIR%) 或其交换文件的磁盘用于 Splunk 数据存储。应将您的 Splunk 索引存储在系统中的其他磁盘上。

有关索引存储方式的更多信息，包括数据库数据桶类型以及 Splunk 如何存储与老化这些项目的信息，请阅读本手册

中的“Splunk 如何存储索引”。

不要将您的不要将您的 Splunk 索引的热索引的热/温数据桶存储在网络卷上。温数据桶存储在网络卷上。网络延迟将导致性能显著降低。应采用高速、本地磁

盘来存储您的 Splunk 索引的热/温数据桶。对于冷/冻结的索引数据桶，您可以指定网络共享，例如分布式文件

系统 (DFS) 卷或网络文件系统 (NFS) 装入点，但应注意，如果搜索包含那些存储在冷数据桶中的数据，则速度

会变慢。

保持您的保持您的 Splunk 索引器的磁盘可用性、带宽和可用空间。索引器的磁盘可用性、带宽和可用空间。确保用于存储 Splunk 索引的磁盘卷始终具有 20%

或以上的可用空间。磁盘性能随可用空间的减少而成比例降低，因为这时磁盘寻道时间会增加。这会影响

Splunk 建立数据索引的速度，并决定了搜索结果、报告和告警的返回速度。在默认的 Splunk 安装中，用于包

含您索引的驱动器必须至少有 2048 MB (2 GB) 的可用磁盘空间，否则建立索引操作将暂停。

在系统映像上加入在系统映像上加入 Splunk

本主题介绍有关使 Splunk 成为每个 Windows 系统映像或安装过程的一部分的概念。它还引导您完成大致的集成过

程，不论您使用何种映像工具。

有关将 Windows 数据导入 Splunk 的更多信息，请阅读《数据导入手册》中的“关于 Windows 数据和

Splunk”。

有关分布式 Splunk 部署的信息，请阅读《分布式部署手册》中的“分布式概述”。这也是您了解如何实施

Splunk 部署的必读内容（不论您采用哪种操作系统）。您还可以从中读到有关 Splunk 分布式部署操作的信

息。

有关如何规划大规模 Splunk 部署的信息，请阅读安装手册中的“针对大规模 Splunk 部署的硬件容量规划”和本

手册中的“在 Windows 上部署 Splunk。

在在 Windows 上的系统集成概念上的系统集成概念

将 Splunk 集成到 Windows 系统映像中的主要目的在于确保当在企业中启用计算机时 Splunk 能够立即可用。这样，

您无需在计算机启用之后安装和配置 Splunk。

在此方案中，当 Windows 系统启动时，它将在引导后立即启动 Splunk。然后，根据所安装 Splunk 实例的类型与配

置，Splunk 要么收集该计算机的数据并转发给某个索引器（多数情况下），要么开始对那些从其他 Windows 计算机

转发过来的数据建立索引。

系统管理员还可以配置 Splunk 实例与某个部署服务器进行通信，以便执行后续配置和更新管理。

在许多典型环境中，在 Windows 计算机上的通用转发器会向某个中央索引器或一组索引器发送数据，然后根据您的

特定需求，针对这些数据执行搜索、报告和告警。

系统集成注意事项系统集成注意事项

将 Splunk 集成到您的 Windows 系统映像中需要细致规划。

在多数情况下，集成到 Windows 系统映像中的首选 Splunk 组件是通用转发器。通用转发器专门设计用于分享在执

行其他角色的计算机上的资源，它能够以非常低的成本来执行索引器可执行的大量工作。您还可以通过 Splunk 的部

署服务器或某个企业内配置管理器来修改转发器的配置，而无需使用 Splunk Web 来做出更改。

在某些情况下，您可能需要将整个 Splunk 实例集成到系统映像中。这种做法的适当场合和时机，取决于您的特定需

求和资源可用性。

Splunk 不建议您在执行任何其他角色的服务器的系统映像中包含 Splunk 的完整版本，除非您需要的是索引器而不是

转发器的操作。在企业中安装多个索引器并不会带来额外的索引能力或速度，相反可能带来意外的结果。

在将 Splunk 集成到系统映像中之前，请考虑：

您需要您需要 Splunk 来建立索引的数据量，来建立索引的数据量，Splunk 需要将这些数据发往哪里（如适用）。需要将这些数据发往哪里（如适用）。这将直接用于磁盘空间

计算，应当是最重要的考虑因素。

要在映像或计算机上安装的要在映像或计算机上安装的 Splunk 实例类型。实例类型。在执行其他职责的工作站或服务器上安装通用转发器具有显著

的优点，但在某些情况下可能不太适合。

在安装映像的计算机上可用的系统资源。在安装映像的计算机上可用的系统资源。在每个映像系统上有多少可用磁盘空间、RAM 和 CPU 资源？它是否

支持安装 Splunk？

您的网络的资源需求。您的网络的资源需求。不论您是使用 WMI 来将其连接到远程计算机以收集数据，或是在每台计算机上安装转

发器并向索引器发送数据，Splunk 都需要网络资源。

在映像中所安装的其他程序的系统要求。在映像中所安装的其他程序的系统要求。如果 Splunk 与另一个服务器共享资源，则它可能会占用其他程序的

可用资源。考虑您是否应在运行完整 Splunk 实例的工作站或服务器上安装其他程序。在此类情况下，通用转

发器更能胜任，因为它采用轻型设计。

安装映像的计算机在您的环境中所扮演的角色。安装映像的计算机在您的环境中所扮演的角色。将成为只诸如 Office 这类生产力应用程序运行的工作站吗？或

者，它将成为您的 Active Directory 森林的操作主机域控制器？

将将 Splunk 集成到系统映像中集成到系统映像中

在您确定上述检查表中问题的答案之后，下一步是将 Splunk 集成到您的系统映像中。这里列出了大致的步骤，因此

您可以使用您喜好的系统映像或配置工具来完成该任务。

从下列系统集成选项中选择一项：

将通用转发器集成到系统映像中

将 Splunk 的完整版本集成到系统映像中

将通用转发器集成到系统映像中将通用转发器集成到系统映像中

本主题介绍将 Splunk 通用转发器集成到 Windows 系统映像中的程序。有关将 Splunk 集成到映像中的其他信息，请

参阅“将 Splunk 集成到系统映像中”。

要将通用转发器集成到系统映像中：

1. 使用基准计算机，根据您的需要安装并配置 Windows，包括安装任何所需的 Windows 功能、修补程序和其他组

件。

2. 安装并配置任何所需的应用程序，同时兼顾 Splunk 的系统和硬件容量需求。

3. 从命令行中安装并配置通用转发器，应至少提供 LAUNCHSPLUNK=0 命令行标记。

重要提示：重要提示：您必须指定 LAUNCHSPLUNK=0 命令行标记，以防止 Splunk 在安装完成后立即运行。

4. 继续到安装的图形部分，选择所需的输入、部署服务器和/或转发器目标。

5. 在您完成安装之后，打开命令提示符。

6. 从提示符下，编辑那些无法在安装程序中配置的附加配置文件。

剩余249页未读，继续阅读

charles7228

粉丝: 0
资源: 1

Splunk5.0管理员手册：大数据分析操作指南

SPLUNK8.2.0中文手册：安装与数据检索指南

Splunk 5.0操作指南：搜索、事件检索与报表实战

Splunk5.0搜索手册：事件检索与报表创建

Splunk-4.3.4-Admin.pdf

Splunk-7.3.0-Admin_zh-CN.pdf

Splunk Enterprise 7.3.0 管理手册：中文版

Splunk企业版4.3.4管理手册

Splunk管理员指南：设置与应用

紧急故障排查手册

CAM350 V14.6稳定性手册：建立长期稳定CAM环境的秘诀（稳定性建立与维护手册）

最新资源