サーチ結果の保存期間

サーチ結果の保存期間は、サーチの方法とアラートアクションが実行されたかどうかによって異なります。

• 手動でのサーチの場合の保存期間は、デフォルトで600秒です。
• スケジュールサーチ(アラートの実行等)の場合の保存期間は、デフォルトでスケジュール間隔の2倍となります。例えば1時間ごとにスケジュールが実行される場合、保存期間は2時間となります。
• 上記保存期間とは別に、スケジュールサーチでアラートアクションが実行された場合、実行されたアラートアクションで設定されている保存期間が有効となります。

保存されたサーチ結果は、Splunk Webのページ右上のアクティビティ＞ジョブより、確認することが可能です。

またサーチ結果はdispatch領域（デフォルトでは$SPLUNK_HOME/var/run/splunk/dispatch）に保存されます。

※デフォルトインストールの場合

＜Linux＞
$SPLUNK_HOME : /opt/splunk
＜Windows＞
$SPLUNK_HOME : C:\Program Files\splunk

スケジュールサーチの保存期間の変更方法

[sample]
dispatch.ttl = 100

アラートアクションが実行された場合の保存期間の変更方法

設定例:メール送信のアラートアクションで、100秒の保存期間を設定する場合

• 下記いずれかの設定ファイルに下記設定を追記します。

• システム全体で保存期間を変更する場合
  $SPLUNK_HOME/etc/sytem/local/alert_actions.conf
• App別に保存期間を変更する場合
  $SPLUNK_HOME/etc/apps/＜App名＞/local/alert_actions.conf

記入例:

[email]
ttl = 100

※[]内にアラートアクション名、ttlに保存期間を秒数で記載します。

※スケジュールサーチの保存期間とパラメーター名が異なります。

• 設定変更後、Splunkサービスを再起動します。