호스트 및 소스별로 분할할 때 라이센스 사용 보고서의 공백

적용 가능성

설명

라이센스 사용을 호스트별로 분할할 때 보고서에는 아래 시트의 스크린샷과 같이 일부 빈 공간이 표시됩니다.


 

조사

모든 인덱서는 인덱싱된 데이터의 상태를 정기적으로 라이센스 관리자에게 보고합니다. 소스, 소스 유형, 호스트 및 인덱스별로 나뉩니다.

고유(소스, 소스 유형, 호스트, 인덱스) 튜플 수가 squash_threshold를 초과하여 증가하는 경우 Splunk는 (host, source} 값을 쿼시하고 {sourcetype, index}별 분석만 보고합니다. 

다른 필드의 스쿼싱으로 인해 소스별 분할 유형 및 인덱스만 전체 보고(모든 바이트)를 보장합니다. 소스 및 호스트별로 분할한다고 해서 전체 보고가 보장되는 것은 아닙니다.

해결

이를 방지하기 위해 [license] stanza의 server.conf 파일에서 squash_threshold 특성을 사용하여 스쿼싱을 구성할 수 있습니다.

그러나 값을 높이면 메모리 사용량이 많아질 수 있으므로 이 작업은 신중하게 수행해야 합니다.

[license]
squash_threshold =

squash_threshold = <positive integer>
* Advanced setting.  Periodically the indexer must report to license manager
  the data indexed broken down by source, sourcetype, host, and index.  If
  the number of distinct (source, sourcetype, host, index) tuples grows over
  the 'squash_threshold', the (host, source) values are squashed and only a
  breakdown by (sourcetype, index) is reported. This is to prevent explosions in
  memory + license_usage.log lines.
* Set this only after consulting a Splunk Support engineer.
* This needs to be set on license slaves as well as license
  master.
* Default: 2000

관련 링크

Splunk 설명서
Splunks 라이센스 사용 보고서 보기 정보