Ubuntuにsplunkをインストールする

このドキュメントの内容は、以下の通りです。

• はじめに
• フリー版とエンタープライズ版ライセンス
• ダウンロード
• インストール
• 起動と停止
• ウェブインタフェースへアクセス
• splunk appのインストール
• 起動しない場合
• Validating databases (splunkd validatedb) failed with code '1'

はじめに

splunkは、ビッグデータ解析ソフトウェアです。ログとか、データを集めて、分析して、アクションにつなげる、そんなことができます。

フリー版とエンタープライズ版ライセンス

フリー版とエンタープライズ版のライセンスがあります。フリー版は、１日のログ転送量が５００MBという制限がありますが、試験的に使ってみる用途があれば、フリー版でよいでしょう。

ダウンロード

splunk のパッケージは下記のサイトからダウンロードできます。OSごとにパッケージが違います。
splunk.com ダウンロードページ

拡張子 deb のファイルをダウンロードします。

インストール

deb ファイルをダウンロードしたら、下記のコマンドでインストールします。

sudo apt install splunk*.deb

起動と停止

起動方法は、下記の通りです。

/opt/splunk/bin/splunk start

停止方法は、下記の通りです。

/opt/splunk/bin/splunk stop

再起動方法は、下記の通りです。

/opt/splunk/bin/splunk restart

停止や再起動は、結構時間がかかります。

初回のスタート時には、 Admin ユーザのパスワードの設定が必要です。

An Admin password must be set before installation proceeds.
Password must contain at least:
   * 8 total printable ASCII character(s).
Please enter a new password:

ウェブインタフェースへアクセス

splunk が起動できたら、以下のアドレスでローカルからアクセスできます。
[[http://127.0.0.1:8000]]

splunk appのインストール

splunk は splunk app で機能拡張ができます。

1. App
2. Appの管理
3. 「ファイルからAppをインストール」からインストール

起動しない場合

Validating databases (splunkd validatedb) failed with code '1'

splunk が以下のエラーで起動できないことがあります。

New certs have been generated in '/opt/splunk/etc/auth'.
Checking critical directories...        Done
Checking indexes...
homePath='/opt/splunk/var/lib/splunk/audit/db' of index=_audit on unusable filesystem.
Validating databases (splunkd validatedb) failed with code '1'.  If you cannot resolve the issue(s) above after consulting documentation, please file a case online at http://www.splunk.com/page/submit_issue

対応方法は、ファイルロックの最適化をオフにします。
設定ファイル splunk-launch.conf の設定を変更します。

sudo vim /opt/splunk/etc/splunk-launch.conf

以下の設定を追加します。

OPTIMISTIC_ABOUT_FILE_LOCKING=1

---