データ取り込みについて

Splunkではデータ取り込みの設定を行うと、取り込み対象のフォルダ/ファイル内のデータを全て取り込みます。取り込み対象のデータが膨大である場合、データの取り込み処理に時間が掛かることやライセンスオーバーの恐れがあります。

以下の設定をすることにより、取り込み設定を実施した以降に取り込まれたデータからSplunkに取り込ませることが可能となります。

設定方法

• <SPLUNK_HOME>/etc/system/local/inputs.confをテキストエディタで開きます。

• 以下の設定を追記します

[monitor://<取り込みたいファイルのパス>]
followTail = 1

例：上記設定を用いて/var/logフォルダ配下のデータの取り込みを実施する場合

[monitor:///var/log]
followTail = 1

• splunkを再起動します