製品・サービス
製品
サービス
- ダッシュボード/SPL作成パック【実装・構築支援】
- バージョンアップサービス【実装・構築支援】
- Smart Security Monitoring App【独自App/サービス】
- Splunk × LANSCOPE Original App 【独自App/サービス】
- Security Monitoring App for Box【独自App/サービス】
- Cloud Security Monitoring App【独自App/サービス】
- サービス一覧
- Macnica Premium Support for Splunk(利活用支援、バージョンアップ見守り)
- Macnica Premium Support for Splunk スキルアップパッケージ
追加データのみ取り込む方法
- 公開日
- 2016-09-21
- 最終更新日
- 2024-01-11
- バージョン
- Splunk Enterprise 9.0.4
- 概要
- データ量増大を防ぐため追加データのみを取り込みたい場合、inputs.confの[Monitor]スタンザ内にfollowTail=1を追加することで、設定実施以降に取り込まれたデータのみを取り込むことが可能です。
- 内容
-
データ取り込みについて
Splunkではデータ取り込みの設定を行うと、取り込み対象のフォルダ/ファイル内のデータを全て取り込みます。取り込み対象のデータが膨大である場合、データの取り込み処理に時間が掛かることやライセンスオーバーの恐れがあります。
以下の設定をすることにより、取り込み設定を実施した以降に取り込まれたデータからSplunkに取り込ませることが可能となります。
設定方法
- <SPLUNK_HOME>/etc/system/local/inputs.confをテキストエディタで開きます。
- 以下の設定を追記します
[monitor://<取り込みたいファイルのパス>]
followTail = 1例:上記設定を用いて/var/logフォルダ配下のデータの取り込みを実施する場合
[monitor:///var/log]
followTail = 1- splunkを再起動します
以上
株式会社マクニカ Splunk 担当
- TEL:045-476-2010
- E-mail:splunk-sales@macnica.co.jp
平日 9:00~17:00