简介
本文档介绍如何对“未能创建集合：Umbrella插件或云安全应用的“资源已存在”错误。
背景信息
某些客户在为Splunk配置Cisco Umbrella插件或为Splunk配置思科云安全应用后可能会遇到错误。最终结果没有日志数据被吸收到Splunk。加载项或应用中的调试日志显示以下错误：
HTTPError(response) splunklib.binding.HTTPError: HTTP 500 Internal Server Error -- Failed to create collection: resource already exists
原因
如果您已经设置加载项或应用，之前已将其删除，并尝试再次添加，则会出现此错误。
卸载应用时，splunkd通常会触发重新加载功能，将最新配置与数据库中的收集数据同步，并在找不到相应配置时删除收集 — 孤立的收集。但是，KVService中的重新加载实施无法执行此操作，因此将此孤立集合留在KVService中。
重新安装应用时，它不会找到配置文件，因为在上一步中它被删除了，但是当它尝试创建它时，它将会失败，因为KVService在应用上下文中仍存在集合。
分辨率
要解决此问题，请将Splunk服务器升级到版本9.1.2312.104。如果升级不是选项，请打开支持Splunk的支持票证。它们具有清理孤立集合的流程。
有关详细信息，请参阅此splunk支持KB:https://splunk.my.site.com/customer/s/article/Failed-to-create-collection。
反馈