ホストおよびソース別に分割する場合のライセンス使用状況レポートの空白

適用性

説明

ライセンスの使用状況をホスト別に分割すると、以下のシートのスクリーンショットのように、レポートに空白が表示されます。


 

調査

各インデクサは、インデックス付けされたデータの統計を、ソース、ソースタイプ、ホスト、インデックス別に定期的にLicense Managerに報告します。

個別の（ソース、ソースタイプ、ホスト、インデックス）タプルの数がsquash_thresholdを超えると、Splunkは(host, source}値を収縮し、{sourcetype, index}ごとのブレークダウンのみをレポートします。 

その他のフィールドに対する圧縮のため、完全なレポート（各バイト）を保証するのは、ソースごとの分割タイプとインデックスだけです。 発信元とホストで分割しても、必ずしも完全なレポートが保証されるわけではありません。

解決方法

これを回避するために、[license]スタンザのserver.confファイルでsquash_threshold属性を使用してスカッシングを設定できます。

ただし、この値を大きくするとメモリの使用量が増える可能性があるため、注意が必要です。

[license]
squash_threshold =

squash_threshold = <positive integer>
* Advanced setting.  Periodically the indexer must report to license manager
  the data indexed broken down by source, sourcetype, host, and index.  If
  the number of distinct (source, sourcetype, host, index) tuples grows over
  the 'squash_threshold', the (host, source) values are squashed and only a
  breakdown by (sourcetype, index) is reported. This is to prevent explosions in
  memory + license_usage.log lines.
* Set this only after consulting a Splunk Support engineer.
* This needs to be set on license slaves as well as license
  master.
* Default: 2000

関連リンク

Splunkドキュメント
Splunksライセンス使用状況レポートビューについて