Distributed Bundle Replication Manager: La directory bundle corrente contiene un file di ricerca di grandi dimensioni che potrebbe causare errori di replica bundle

Applicabilità

Descrizione

Distributed Bundle Replication Manager: The current bundle directory contains a large lookup file that might cause bundle replication fail. 
The path to the directory is /opt/splunk/var/run/<cloudstack>.splunkcloud.com-1573504421-1573504499.delta.

Indagine

Trovare file di dimensioni superiori a 500 MB utilizzando il comando seguente:  

find /opt/splunk/etc -type f -size +500M -exec ls -lh {} \;

Se i file esistono oltre i 500 MB, si consiglia di aggiungerli a replicationDenyList se non sono necessari nell'indicizzatore per soddisfare la ricerca. Prendere il nome della ricerca (escluso il percorso completo e .csv) e utilizzarlo in questo comando dello strumento per cercare le istanze della ricerca esistenti in props.conf:

splunk btool props list --debug | grep -i <lookup>

Se la ricerca viene chiamata in props.conf, potrebbe essere necessaria per soddisfare le ricerche. Esaminare alternative quali la migrazione delle ricerche in KVStore

Risoluzione

Come negare

L'elenco di negazione deve essere applicato all'elemento di ricerca in distsearch.conf

La stanza [replicationDenylist] nella versione di sistema predefinita di distsearch.conf negherà tutti i file .csv specificati 

Questa opzione è particolarmente utile per limitare le dimensioni del knowledge bundle, in particolare nel caso di file molto grandi che non devono essere replicati nei peer di ricerca. L'elenco degli oggetti non autorizzati ha la precedenza su qualsiasi elenco degli oggetti autorizzati.

Di seguito è riportato un esempio: 

[replicationDenylist]
my_lookup = apps/search/lookups/my_lookup.csv

Come modificare l'avviso:

Aumento del numero predefinito per l'avviso (scelta non consigliata)

Questa opzione consente solo di eliminare il messaggio di avviso. Se il file continua a crescere, la replica negli indicizzatori può iniziare a non riuscire. Il risultato finale è Splunk che utilizza bundle obsoleti che potrebbero causare errori dell'applicazione non trovata (codice di uscita=111) e molti altri. 

Come fare
Prima di modificare un elemento, assicurarsi di eseguire un backup dei file Splunk utilizzando le procedure ottimali descritte di seguito: Configurazioni di backup

1. Accedere alla CLI
2. Passare a /opt/splunk/etc/system/local/
3. Modificare il file distsearch.conf
4. Aggiungere quanto segue

[replicationSettings]
concerningReplicatedFileSize = 2000 
maxBundleSize = 4096

5. Salvare e riavviare per applicare le modifiche. 

Collegamenti correlati

Documentazione relativa a Splunk
Modifica il bundle delle conoscenze

Limita le dimensioni dei pacchetti di informazioni