什么是 Splunk

它是一个可以在所有主流 *** 作系统上运行的独立软件包 - 只需选择您的平台，然后下载并安装即可。您需要处理和运行的是用户使用的 Web 界面，以及用于索引计算机数据的引擎。2.从任意源索引任意数据Splunk 可以从任何源实时索引任何类型的计算机数据。可以在 Splunk 中指向您的服务器或网络设备的系统日志、设置 WMI 轮询、监视实时日志文件，并能够监视您的文件系统或 Windows 注册表中的更改，或安排脚本获取系统指标。Splunk 可以索引您的所有机器数据，而无需购买、编写或维护任何特定的分析器或适配器。原始数据和丰富索引均存储在高效、已压缩的、基于文件系统的数据存储中，并提供可选数据签名和数据的完整性审核。3.从远程系统转发数据在无法通过网络提供所需数据，或安装了Splunk的服务器上看不见所需数据的情况下，可以部署 Splunk Forwarder。Splunk forwarder 为成千上万的端点提供安全、分布式实时全局数据收集。它们可以监视本地应用程序日志文件、捕获有关时间表的状态命令输出、获取来自虚拟或非虚拟来源的性能指标，或监控配置、权限和属性变化的文件系统。它们都是属于可以快速部署的轻量级服务器，而且不会产生任何额外费用。4.专为大型数据构建使用Splunk ，每天可收集和索引成千上万太字节的数据。其可扩展性体系结构基于 MapReduce，因此，随着日常数据量和数据来源不断增长，您只需添加更多商品服务器即可扩展效能。自动负载平衡可以优化工作负载和响应时间，并提供内置故障转移机制。开箱即用的报告和分析功能可避免部署第三方报告工具的需要。还可以配置 Splunk 使用 SAN 或其它存储设备，以满足长期存储需求。5.在整个数据中心扩展Splunk 分布式体系结构可让您在一个数据中心跨多个部署进行搜索，或在您的所有数据中心进行全局搜索。借助基于角色的访问，您可以控制指定用户的搜索将要跨越的范围。区域用户可以查看区域系统的数据，而企业范围内用户则可以查看所有数据中心的数据。Splunk 愿景是让每一位已授权员工都能够看到他们需要的计算机数据；并将数据用于调查、报告和仪表板或分析，以便不断提高 IT 运营并获得有价值的业务洞察力。花几分钟时间安全连接您的 Splunk 安装，能让您设计一个可管理的企业数据结构。6.提供角色型的安全性从各个方面来说，Splunk 均可谓是一种强大的安全模型。各项 Splunk 交易均会得到验证，其中包括通过 Web 用户界面和命令行接口执行的用户活动，以及通过 Splunk API 执行的系统活动。使用一整套按用户类型来限制功能的记录控制点，您可以自己为 Splunk 用户定义角色。这些精细的访问控制可以限制搜索、警报、报告、仪表板以及不同 Splunk 角色可以查看的视图。Splunk 还可以集成兼容 LDAP 的外部目录服务器和 Active Directory 服务器，以执行企业范围内的安全策略。此外，还提供单一登录集成，以启动对用户凭据的传递身份验证。

splunk是一项很火的技术。

Splunk技术旨在对任何规模的数据进行调查、监控、分析和处理。Splunk公司通过“将数据转化为一切（Data-to-Everything）”平台，将数据转化为行动，探讨了企业在迎接数据时代时应怎样做好准备。

三分之二（67%）的受访者预计，到2025年，数据总量将急剧增长近5倍。研究表明，领导者看到了数据爆炸带来的重要商机，并认为数据在以下方面对其组织极其重要或者非常重要：整体成功（81%）、创新（75%）和网络安全（78%）。

问题：现在在一个公司里面，有1,2,3,三台电脑作为搜索头，4,5,6,7,8五台电脑作为索引器，9作为cluster master管理集群，10作为deployment server 管理转发器，请问应该怎样去导入数据？假设现在数据存放在电脑108中。

1、确定测试用 索引 。首先，确定自己的分布式架构下在deployment server 下面已经建立了测试用索引，以便于进行数据测试。若不清楚是否拥有此索引，可直接询问管理员。（若无此索引，请尽量新建一新索引作为测试用索引）

2、判断数据所用的来源类型可以正确解析数据，若无此来源类型，应选择合适配置并新建来源类型。（若所选来源类型可以正确解析数据，则直接跳过下面的 新建来源类型 步骤）

（1）点击 添加数据

（2）点击 上载

（3）选择合适的 来源类型。 在此处配置，直到自己所用配置可以正确解析为止。若无法正确解析，请询问管理员如何进行配置，或查阅ADMIN文档中props.conf一节 。

3、新建 来源类型 。在deployment server新建来源类型，以求对数据获得正确的导入格式。

（1）在 设置 中找到 来源类型

（2）点击 新建来源类型 。请注意在此步之前是否已确定数据导入进来时断行等数据解析是否正确，若未判断，应先将数据导入并选择合适的设置，以求数据正确解析。

（3）选择合适的配置。然后保存，请再次确定此时保存的来源类型可以正确解析数据。确定方法与第二步相同。

4、建立新远程文件或目录，以监控数据路径。

（1）点击 设置 中 数据输入

（2）在 转发的输 入中选择合适的数据类型

（3）点击新远程文件和目录。

（4）请选择存放数据的转发器，即 可用主机 。选择服务器类为 新建 ， 新建服务器类名称 。（请注意，现在所有的 *** 作过程均为测试过程，此过程做完后显示数据正常进入之后，再在正式的索引中导入数据，重复在此测试过程中的所有 *** 作即可，在正式导入数据时请确定是否需要新建服务器类，若不清楚，可直接询问管理员。）

（5）请填写所要监控的 文件或文件目录 ，请注意，此时无法进行选择，因为数据来自于远方计算机，即存放数据的转发器108中的文件或目录路径。例如：/var/log/syslog。

（6）点击 选择 ，选择自己之前已经确定过可以正确解析数据的 来源类型 。选择 测试用索引 （若测试正确，则再次经过此步骤时选择正式索引）

（7）单击 检查 。单击 完成。

5、此时到deployment server 下面去下发配置文件props。现在进入/opt/splunk/etc/deployment-apps/路径，则可以看到刚才新建的服务器类所形成的默认应用。

（1）进入/opt/splunk/etc/deployment-apps/路径

（2）进入 应用 。进入 local。 编写 props.conf 文件。其中写入编码格式，二进制等设置。若不知道正确配置可直接去第2步 复制剪贴板， 直接粘贴进去 。（请注意，此时你的来源类型为新建的时才需要编写此处以及之后的步骤，若系统自带的来源类型已经满足你的需求，则不需要再在此处编写此文件，一旦编写，反而有可能覆盖系统自带的配置文件。）

（3）回到/opt/splunk/bin目录,输入./splunk reload deploy-server将配置文件下发至forwarder108中。

6、进入cluster master后台，去编写cluster下的props.conf文件，路径为/opt/splunk/etc/master-apps/。在此路径下若只有一个文件夹_cluster，则直接编辑即可。若有两个以上文件夹，应询问管理员在哪个文件夹下进行编辑。编辑方式与deployment server 下的编辑一样，只不过配置的参数不同。若不知应该配置哪些参数，则到第2步复制配置参数 复制剪贴板， 直接复制粘贴即可。

7、向所有indexer下发对应来源类型的配置参数。在cluster master的web界面进行 *** 作。

（1）点击 设置 中 索引器群集化。

(2)点击 配置软件包 *** 作

（3）点击推送，也有可能为Push,具体看自己的即可。此时所有 *** 作均已完成。在搜索头中进行搜索即可。

---