Offre groupée distribuée Replication Manager : Le répertoire d'offres groupées actuel contient un fichier de recherche volumineux qui peut entraîner l'échec de la réplication d'offres groupées

Applicabilité

Description

Distributed Bundle Replication Manager: The current bundle directory contains a large lookup file that might cause bundle replication fail. 
The path to the directory is /opt/splunk/var/run/<cloudstack>.splunkcloud.com-1573504421-1573504499.delta.

Enquête

Recherchez les fichiers de plus de 500 Mo à l'aide de la commande suivante :  

find /opt/splunk/etc -type f -size +500M -exec ls -lh {} \;

S'il existe des fichiers de plus de 500 Mo, il est recommandé de les ajouter à replicationDenyList s'ils ne sont pas requis sur l'indexeur pour satisfaire la recherche. Prenez le nom de la recherche (à l'exclusion du chemin d'accès complet et .csv) et utilisez-le dans cette commande btool pour rechercher les instances de la recherche existant dans props.conf :

splunk btool props list --debug | grep -i <lookup>

Si la recherche est appelée dans props.conf, elle peut être nécessaire pour satisfaire les recherches. Cherchez des alternatives telles que la migration des recherches vers KVStore

Résolution

Comment déchiffrer

La liste de refus doit être appliquée à la tête de recherche dans distsearch.conf

La strophe [replicationDenylist] dans la version par défaut du système de distsearch.conf refusera tous les fichiers .csv qui sont spécifiés 

Cela est très utile pour limiter la taille du faisceau de connaissances, en particulier dans le cas de fichiers très volumineux qui n'ont pas besoin d'être répliqués sur les homologues de recherche. La liste de refus est prioritaire sur toute liste d'autorisation.

En voici un exemple : 

[replicationDenylist]
my_lookup = apps/search/lookups/my_lookup.csv

Comment modifier l'avertissement :

Augmentation du numéro par défaut de l'avertissement (non recommandé)

Cette option permet uniquement de se débarrasser du message d'avertissement. Si le fichier continue à croître, la réplication vers les indexeurs peut commencer à échouer. Le résultat final est Splunk utilisant des paquets obsolètes pouvant conduire à des erreurs d'application introuvable (code de sortie=111) et bien plus encore. 

Comment le faire ?
Avant de modifier quelque chose, assurez-vous de faire une sauvegarde des fichiers Splunk avec les meilleures pratiques ici : Sauvegarde des configurations

1. Accédez à l'interface de ligne de commande
2. Passer à /opt/splunk/etc/system/local/
3. Modifiez le fichier distsearch.conf
4. Ajouter ce qui suit :

[replicationSettings]
concerningReplicatedFileSize = 2000 
maxBundleSize = 4096

5. Enregistrez et redémarrez pour appliquer les modifications. 

Liens connexes

Documentation Splunk
Modifier l'ensemble de connaissances

Limiter la taille des ensembles de connaissances