Universal ForwarderのCPU使用率が非常に高い

[cwl]

4.3.3のUniversal Forwarderを使っているが、特定の環境だけUniversal Forwarderの起動後に2時間が経っても、CPUの使用率が42%のままでした。

何故、Universal ForwarderはそんなにCPUリソースを使っているでしょうか。

[cwl · Accepted solution]

inputs.confに「followTail」が有効になっている（followTail=true）場合、モニター対象のフォルダに大量のファイルがある場合、Universal ForwarderでもCPUの使用率が高くなることがあります。

回避策としては、「followTail」の代わりに「ignoreOlderThan」を使用することです。

また、「followTail」使用時の注意点については以下のAnswersに記載がありますので、あわせて確認してください。

http://splunk-base.splunk.com/answers/57819/when-is-it-appropriate-to-set-followtail-to-true