Distributed Bundle Replication Manager: De huidige bundeldirectory bevat een groot opzoekbestand dat kan leiden tot een mislukte bundelreplicatie

toepasbaarheid

Beschrijving

Distributed Bundle Replication Manager: The current bundle directory contains a large lookup file that might cause bundle replication fail. 
The path to the directory is /opt/splunk/var/run/<cloudstack>.splunkcloud.com-1573504421-1573504499.delta.

onderzoek

Zoek bestanden die groter zijn dan 500MB met de volgende opdracht:  

find /opt/splunk/etc -type f -size +500M -exec ls -lh {} \;

Als er bestanden bestaan van meer dan 500 MB, is het raadzaam om ze toe te voegen aan de replicationDenyList als ze niet nodig zijn op de indexeerder om de zoekopdracht te voldoen. Neem de opzoeknaam (met uitzondering van het volledige pad en .csv) en gebruik deze in deze btool-opdracht om te zoeken naar voorbeelden van het opzoeken dat bestaat in props.conf:

splunk btool props list --debug | grep -i <lookup>

Als het opzoeken wordt opgeroepen in props.conf, kan het nodig zijn om zoekopdrachten te voldoen. Kijk naar alternatieven zoals het migreren van lookups naar KVStore

resolutie

Hoe te denylist

De tandheelkundige lijst moet worden toegepast op de zoekkop in distsearch.conf

De [replicationDenylist] stanza in de systeemstandaardversie van distsearch.conf zal alle .csv-bestanden die zijn opgegeven weigeren 

Dit is het meest nuttig voor het beperken van de grootte van de kennisbundel, vooral in het geval van zeer grote bestanden die niet hoeven te worden gerepliceerd naar de zoekcollega's. De lijst met weigeringen heeft voorrang op een lijst met toegestane objecten.

Hieronder volgt een voorbeeld: 

[replicationDenylist]
my_lookup = apps/search/lookups/my_lookup.csv

Hoe de waarschuwing te wijzigen:

Het standaardnummer voor de waarschuwing verhogen (niet aanbevolen)

Deze optie is alleen om zich te ontdoen van de waarschuwing boodschap. Als het bestand blijft groeien, kan replicatie naar de indexeerders mislukken. Het eindresultaat is Splunk met behulp van verouderde bundels die mogelijk leiden tot niet-gevonden applicatie (exit code=111) fouten en nog veel meer. 

Hoe het te doen
Voordat u iets wijzigt, moet u een back-up maken van Splunk-bestanden met de best practices hier: Back-upconfiguraties

1. Toegang krijgen tot de CLI
2. Ga naar /opt/splunk/etc/system/local/
3. Bewerk het bestand distsearch.conf
4. Voeg het volgende toe

[replicationSettings]
concerningReplicatedFileSize = 2000 
maxBundleSize = 4096

5. Opslaan en opnieuw starten om de wijzigingen toe te passen. 

Gerelateerde links

Splunk-documentatie
Wijzig de kennisbundel

Beperk de omvang van de kennisbundel