侧边栏壁纸
  • 累计撰写 66 篇文章
  • 累计创建 38 个标签
  • 累计收到 8 条评论
隐藏侧边栏

修改splunk数据模型保存路径

散漫的老何
2021-06-14 / 0 评论 / 0 点赞 / 229 阅读 / 1,153 字 / 正在检测是否收录...
温馨提示:
本文最后更新于 2021-07-09,若内容或图片失效,请留言反馈。部分素材来自网络,若不小心影响到您的利益,请联系我们删除。

数据模型默认保存路径

默认保存路径:$SPLUNK_DB/$INDEX_NAME/datamodel_summary
正常情况下保存路径:/opt/splunk/var/lib/splunk

问题描述

今天在做POC测试时,搜索突然就报错提示:“splunk node2 index 服务异常停止不能搜索,node3 index停止搜索”
经过排查发现 node2节点/opt目录使用率高达100%,导致splunk服务异常停止。发现node3节点/opt目录剩余使用空间低于5G,splunk 安装空间低于5GB会停止索引。
再次排查发现 /opt/splunk/var/lib/splunk使用空间非常高。splunk 系统自带的index使用空间并不高。发现index_name/datamodel_summary使用空间较高
由此确定数据模型数据保存在/opt目录下,导致/opt空间不够。需要指定将数据模型文件保存到/data目录下。

解决方法

由于是测试环境,可以重建数据模型,选择删除opt目录下的数据模型文件。

编辑 Master上的indexes.conf配置文件

[volume:splunk_datamodel]
path = /data/splunk_db/datamodel --设置全局index 数据模型保存路径

[applog]
tstatsHomePath = volume:splunk_datamodel/applog/datamodel_summary  --设置applog index数据模型保存的位置
coldPath = $SPLUNK_DB/applog/colddb
enableDataIntegrityControl = 0
enableTsidxReduction = 0
homePath = $SPLUNK_DB/applog/db
maxTotalDataSizeMB = 512000
thawedPath = $SPLUNK_DB/applog/thaweddb
image-20210614012914850

在master上面推送配置文件,index节点将重启。

删除/opt/目录下的数据文件

cd /opt/splunk/var/lib/splunk/applog/datamodel_summary
rm -rf *

参考链接:
https://community.splunk.com/t5/Reporting/How-can-I-change-the-location-of-accelerated-data-model-summary/m-p/174138

0

评论