Splunkでiplocationコマンドを用いたとき、MaxMind社が提供しているMMDBファイルを参照して、ロケーション情報を出力しています。

MMDBファイルの更新手順

• Splunkサーバーの$SPLUNK_HOME/etc/system/local配下に移動し、limits.confをテキストエディタで開きます。（無い場合、limits.confを新しく作成してください。）

※$SPLUNK_HOMEのデフォルトのインストールパスは以下の通りです。

Linux: /opt/splunk/
Windows: C:\Program Files\splunk

• limits.confに下記設定を追記してください。

==========
[iplocation]
db_path = <更新するMMDBファイルのフルパス>
==========

（例）「$SPLUNK_HOME/etc」に配置している「GeoLite2-City.mmdb」に更新する場合

==========
[iplocation]
db_path = $SPLUNK_HOME/etc/GeoLite2-City.mmdb
==========

• Splunkサービスを再起動してください。

補足情報

分散環境でサーチヘッドとインデクサーが別インスタンスになっている場合、サーチヘッドとインデクサー両方のMMDBファイルを更新してください。