分布式捆绑包Replication Manager :当前捆绑包目录包含可能导致捆绑包复制失败的大型查找文件

适用范围

描述

Distributed Bundle Replication Manager: The current bundle directory contains a large lookup file that might cause bundle replication fail. 
The path to the directory is /opt/splunk/var/run/<cloudstack>.splunkcloud.com-1573504421-1573504499.delta.

调查

使用以下命令查找大于500MB的文件：  

find /opt/splunk/etc -type f -size +500M -exec ls -lh {} \;

如果文件存在超过500 MB，则建议将其添加到replicationDenyList（如果索引器上不需要这些文件来满足搜索要求）。使用查找名称（不包括完整路径和.csv），并在此btool命令中使用该名称查找props.conf中存在的查找实例：

splunk btool props list --debug | grep -i 

如果在props.conf中调用查找，则可能需要查找来满足搜索条件。寻找其他方案，例如将查找迁移到KVStore

分辨率

如何拒绝列表

应在distsearch.conf中的搜索头上应用denylist

distsearch.conf的系统默认版本中的[replicationDenylist]stanza将拒绝指定的所有.csv文件 

这对于限制知识包的大小最有用，特别是在不需要复制到搜索对等体的超大文件的情况下。拒绝列表优先于任何允许列表。

下面是一个示例： 

[replicationDenylist]
my_lookup = apps/search/lookups/my_lookup.csv

如何更改警告：

增加警告的默认数量（不推荐）

此选项仅用于清除警告消息。如果文件继续增长，复制到索引器的操作可能会开始失败。最终结果是Splunk使用过时的捆绑包，可能导致应用找不到（退出代码=111）错误以及更多错误。 

操作方法
在更改内容之前，请务必使用以下最佳实践备份Splunk文件：备份配置

1.访问CLI
2.转到/opt/splunk/etc/system/local/
3.编辑文件distsearch.conf
4.添加以下内容

[replicationSettings]
concerningReplicatedFileSize = 2000 
maxBundleSize = 4096

5.保存并重新启动以应用更改。 

相关链接

Splunk文档
修改知识包

限制知识捆绑大小