Universal Forwarder Windows版で特定のファイルのsourcetypeを指定したいので
props.confもしくはinputs.confにsourcetype = hogeという設定を入れようと思うのですが
設定ファイルと思われるファイルが複数あり、どこに記述すればよいのかわかりません。
Forwarderのインストーラーは$SPLUNK_HOME/etc/apps/MSICreated/local/inputs.confにモニタリングする
場所を設定しているので、そこに
[monitor://path]
disabled = false
sourcetype = hoge
と記述すれば設定できるようですが、手動でMSICreatedの設定を変更して問題ないのでしょうか?
他の場所に記述すべきなのでしょうか?
また、props.confに記述する場合は$SPLUNK_HOME/etc/system/localに記述すると思っていましたが
設定が反映されないようです。記述する場所は合っていますでしょうか?
よろしくお願いいたします。
Splunkのバージョンは5.0.3を使用しています。
... View more