Espaços em branco no relatório de uso de licença ao dividir por host e origem

Aplicabilidade

Descrição

Ao dividir o uso da licença por host, o relatório mostrará alguns espaços em branco, conforme mostrado na captura de tela tirada de uma planilha abaixo:


 

Investigação

Todos os indexadores reportam periodicamente ao License Manager o estado dos dados indexados: divididos por origem, tipo de origem, host e índice.

Se o número de tuplas distintas (origem, tipo de origem, host, índice) crescer acima do squash_threshold, o Splunk esmagará os valores (host, origem} e só reportará uma divisão por {sourcetype, index}. 

Devido ao esmagamento nos outros campos, somente o tipo e o índice de divisão por origem garantirão o relatório completo (cada byte). A divisão por origem e host não garante necessariamente a geração de relatórios completos.

Resolução

Para evitar isso, o esmagamento pode ser configurado no arquivo server.conf na estrofe [license] com o atributo squash_threshold.

Aumente o valor, no entanto, isso deve ser feito com cuidado, pois isso pode levar a um alto uso de memória.

[license]
squash_threshold =

squash_threshold = <positive integer>
* Advanced setting.  Periodically the indexer must report to license manager
  the data indexed broken down by source, sourcetype, host, and index.  If
  the number of distinct (source, sourcetype, host, index) tuples grows over
  the 'squash_threshold', the (host, source) values are squashed and only a
  breakdown by (sourcetype, index) is reported. This is to prevent explosions in
  memory + license_usage.log lines.
* Set this only after consulting a Splunk Support engineer.
* This needs to be set on license slaves as well as license
  master.
* Default: 2000

Links relacionados

Documentação do Splunk
Sobre a Exibição do Relatório de Uso de Licenças do Splunks