按主机和源拆分时，许可证使用情况报告中的空白处

适用范围

描述

按主机划分许可证使用量时，报告将显示一些空白区域，如下面的表格截图所示：


 

调查

每个索引器定期向许可证管理器报告所索引数据的状态：按源、源类型、主机和索引进行细分。

如果distinct(source、source type、host、index)元组的数量超过squash_threshold，则Splunk会压缩(host、source}值，并且仅按{sourcetype， index}报告细分。 

由于对其他字段进行了压缩，只有按源拆分类型和索引才能保证完整的报告（每个字节）。 按源和主机拆分不一定保证完全报告。

分辨率

要避免这种情况，可使用squash_threshold属性在[license]stanza中的server.conf文件中配置squashing。

然而，增加该值时，必须小心谨慎，因为这可能导致高内存使用率。

[license]
squash_threshold =

squash_threshold = <positive integer>
* Advanced setting.  Periodically the indexer must report to license manager
  the data indexed broken down by source, sourcetype, host, and index.  If
  the number of distinct (source, sourcetype, host, index) tuples grows over
  the 'squash_threshold', the (host, source) values are squashed and only a
  breakdown by (sourcetype, index) is reported. This is to prevent explosions in
  memory + license_usage.log lines.
* Set this only after consulting a Splunk Support engineer.
* This needs to be set on license slaves as well as license
  master.
* Default: 2000

相关链接

Splunk文档
关于Splunks许可证使用情况报告视图