분산 번들 Replication Manager: 현재 번들 디렉터리에 번들 복제가 실패할 수 있는 큰 조회 파일이 있습니다.

적용 가능성

설명

Distributed Bundle Replication Manager: The current bundle directory contains a large lookup file that might cause bundle replication fail. 
The path to the directory is /opt/splunk/var/run/<cloudstack>.splunkcloud.com-1573504421-1573504499.delta.

조사

다음 명령을 사용하여 500MB보다 큰 파일을 찾습니다.  

find /opt/splunk/etc -type f -size +500M -exec ls -lh {} \;

500MB가 넘는 파일이 있는 경우 인덱서에서 검색을 충족하기 위해 필요하지 않은 파일은 replicationDenyList에 추가하는 것이 좋습니다. lookup 이름(전체 경로 및 .csv 제외)을 가져와 이 tool 명령에서 사용하여 props.conf에 있는 lookup의 인스턴스를 찾습니다.

splunk btool props list --debug | grep -i 

props.conf에서 조회가 호출되는 경우 검색을 충족해야 할 수 있습니다. KVStore로 조회 마이그레이션과 같은 대안을 살펴보십시오.

해결

거부 방법

denylist는 distsearch.conf의 검색 헤드에 적용해야 합니다.

distsearch.conf의 시스템 기본 버전에 있는 [replicationDenylist] 스탠자는 지정된 모든 .csv 파일을 거부합니다 

이는 지식 번들의 크기를 제한하는 데 가장 유용합니다. 특히 검색 피어에 복제할 필요가 없는 매우 큰 파일의 경우 더욱 그렇습니다. 거부 목록은 허용 목록보다 우선합니다.

다음은 그 예입니다. 

[replicationDenylist]
my_lookup = apps/search/lookups/my_lookup.csv

경고를 변경하는 방법:

경고의 기본 수를 늘립니다(권장하지 않음).

이 옵션은 경고 메시지를 제거하는 데만 사용됩니다. 파일이 계속 증가하면 인덱서에 대한 복제가 실패할 수 있습니다. 그 결과 오래된 번들을 사용하는 Splunk에서 애플리케이션을 찾을 수 없는 오류(종료 코드=111) 등이 발생할 수 있습니다. 

방법
어떤 것을 변경하기 전에 다음 모범 사례와 함께 Splunk 파일을 백업하십시오. 백업 구성

1. CLI 액세스
2. /opt/splunk/etc/system/local/로 이동합니다.
3. distsearch.conf 파일을 편집합니다.
4. 다음 추가

[replicationSettings]
concerningReplicatedFileSize = 2000 
maxBundleSize = 4096

5. 저장 후 다시 시작하여 변경 사항을 적용합니다. 

관련 링크

Splunk 설명서
지식 번들 수정

지식 번들 크기 제한