Spazi vuoti nel report sull'utilizzo delle licenze durante la divisione per host e origine

Applicabilità

Descrizione

Quando si suddivide l'utilizzo della licenza per host, il report visualizza alcuni spazi vuoti come mostrato nello screenshot tratto da un foglio riportato di seguito:


 

Indagine

Ogni indicizzatore segnala periodicamente al License Manager lo stato dei dati indicizzati: suddiviso per origine, tipo di origine, host e indice.

Se il numero di tuple distinte (origine, tipo di origine, host, indice) supera la soglia squash_threshold, Splunk comprime i valori (host, origine} e segnala una scomposizione solo per {sourcetype, indice}. 

A causa della compressione sugli altri campi, solo il tipo e l'indice separati per origine garantiranno la creazione di report completi (ogni byte). La divisione per origine e host non garantisce necessariamente la creazione di report completi.

Risoluzione

Per evitare questo problema, è possibile configurare squashing nel file server.conf nella stanza [license] con l'attributo squash_threshold.

Aumentare il valore, tuttavia, è necessario procedere con cautela, in quanto ciò potrebbe comportare un elevato utilizzo della memoria.

[license]
squash_threshold =

squash_threshold = <positive integer>
* Advanced setting.  Periodically the indexer must report to license manager
  the data indexed broken down by source, sourcetype, host, and index.  If
  the number of distinct (source, sourcetype, host, index) tuples grows over
  the 'squash_threshold', the (host, source) values are squashed and only a
  breakdown by (sourcetype, index) is reported. This is to prevent explosions in
  memory + license_usage.log lines.
* Set this only after consulting a Splunk Support engineer.
* This needs to be set on license slaves as well as license
  master.
* Default: 2000

Collegamenti correlati

Documentazione relativa a Splunk
Informazioni sulla visualizzazione del report sull'utilizzo delle licenze Splunks