Reporting

稼働中のSplunkからログデータをバックアップしたい

Shiro
New Member

稼働しているSplunkを止めずにログデータのバックアップを行う方法はないでしょうか?

要件としては、稼働中のSplunkから検証用のSplunkにログデータを丸ごと移行、です。
稼働中のSplunkは止めることができません。

0 Karma

HiroshiSatoh
Champion

Splunkのデータはインディックス毎にフォルダが作成されているのでフォルダ毎コピーすればよいです。
ただし、ホットバケツ状態のデータはコピーできませんので、コピー先で削除する必要があります。

インディックスフォルダ:splunk/var/lib/splunk
削除するホットバケツのフォルダ:hot_v*のフォルダ
※.bucketManifestからも削除したフォルダと同じPATHの行を削除

ホットバケツをウォームバケツに移行させるには、Splunkを停止させるか、CLIコマンドを実行します。ただし、Splunkが実行状態の場合は常にホットバケツが作成される可能性があるので作成されてしまった場合は削除が必要です。詳しくはマニュアルを参照して下さい。

マニュアル:インデクサーおよびインデクサーのクラスタの管理

0 Karma

Shiro
New Member

ご回答ありがとうございます。
フォルダのコピーを行う際の具体的な手順は、

1.コピー先(検証用)のSplunkを停止
2.splunk/var/lib/splunk以下をすべて削除
3.フォルダをコピー
4.コピー先のホットバケツの削除&.bucketManifestの編集
5.検証用のsplunkを起動

という認識で合っていますでしょうか。

0 Karma

HiroshiSatoh
Champion

手順が漏れました。SPLUNKにデフォルトで存在するインディックス(_internal等)はコピー先でも同じ定義があるので問題ありませんが、追加したインディックスはコピー先に存在しませんのでインディックスの定義を行う必要があります。

システムデフォルトはetc/system/default/indexes.confに定義がありますが、APPSを追加してたりした場合はAPPS配下のフォルダに存在してたりします。コピーしたインディックスが検索できないような場合は定義を追加して下さい。もしくはコピー元と同じAPPSをコピー先にも入れてからコピーして下さい。

0 Karma
Get Updates on the Splunk Community!

Index This | I am a number, but when you add ‘G’ to me, I go away. What number am I?

March 2024 Edition Hayyy Splunk Education Enthusiasts and the Eternally Curious!  We’re back with another ...

What’s New in Splunk App for PCI Compliance 5.3.1?

The Splunk App for PCI Compliance allows customers to extend the power of their existing Splunk solution with ...

Extending Observability Content to Splunk Cloud

Register to join us !   In this Extending Observability Content to Splunk Cloud Tech Talk, you'll see how to ...