0　目的

インデクサークラスタをCLIでなくGUIのみで構築できるか、確認
CLI便利だけど、しばらくするとコマンド忘れるのよね・・・

1 インフラ環境設定

デスクトップ(MacBookPro)上の仮想環境(VMware Fusion)にVMを7台(linux)用意
別にクラウドでも、コンテナでも、物理でもOK。
- SearchHead用 SH1, SH2
- Indexer用 IDX1,IDX2,IDX3
- LicenseServer用 mngt
- ClusterMaster用 cm
こんな感じ

リソースは適当に小さくてもOK
- CPU 1
- Memory 1024MB

2 Splunk インストール

インストール後
設定 --> サーバー設定 --> 全般設定　から Splunkサーバー名とデフォルトのホスト名を変更して再起動しておく

3 ライセンスサーバー設定

ライセンスサーバーの設定からライセンスを選択

ライセンスの追加

ライセンスファイル(XXX.license)を選択し、インストール

いますぐ再起動 --> OK

再起動後、ライセンスグループがEnterpriseに設定されていることを確認

その他6台のサーバーにログインし、設定-->ライセンス-->スレーブに変更

マスターの関連付けの変更で、別のSplunkインスタンスを、マスターライセンスサーバーとして指定
URIにはライセンスサーバーのDNSもしくはIPを指定し、ポートは8089 で保存

今すぐ再起動 --> OK

再起動後、ライセンスページから、ライセンスマスターと紐付けられていることを確認

これを6台全部繰り返す・・・・CLIの方が楽かも・・・

4 Cluster Master設定

クラスタマスター(CM)にログインし、設定 --> インデクサークラスタリング -->インデクサー・クラスタリングを有効にする

マスターノードを選択

任意のセキュリティキーと　クラスターラベルを設定し、マスターノードを有効にする -->再起動
※後ほど使う

再度ログインするとこんな感じ

エラーメッセージが出ている
まだクラスタが構成されていないので、当然。無視。

5 IndexerをクラスターのSearch Peerにする

IDX1 ~ 3 にログインし以下を実行
設定 --> インデクサークラスタリング --> インデクサー・クラスタリングを有効にする --> ピアノード -->次へ

ピアノード設定 --> ピアノードを有効にする --> 再起動
- マスターURIにクラスターマスター(cm)のホスト名、もしくはIPにポート:8089を指定
- ピア複製用ポート 8080
- セキュリティキー "クラスターマスターの設定#4で設定したもの"

これを IDXサーバー3台で繰り返す
途中エラーになっても、クラスタマスターから認識していれば問題なし


クラスタが複数台登録され、データが同期されるとエラーは消える

6 SearchHead と IndexCluster の紐付け

SH1 ~ SH2 にログインし以下を実行
設定 --> インデクサークラスタリング --> インデクサー・クラスタリングを有効にする --> サーチヘッドノード -->次へ

サーチヘッドノード設定 --> サーチヘッドノードを有効にする --> 再起動
- マスターURIにクラスターマスター(cm)のホスト名、もしくはIPにポート:8089を指定
- セキュリティキー "クラスターマスターの設定#4で設定したもの"

再起動後確認

7 SearchHead から IndexCluseter のデータを検索できるか確認

サーチヘッド(sh1)から自分を含むindexerのデータが検索できればOK

index="_internal" | dedup host | table host

8 DMC(Distributed Management Console)の設定

DMCを設定すると1台のSplunkサーバーからSplunk環境全体(クラスタ＆非クラスタ)を把握できるので便利
CMにログインし、設定 --> モニターコンソール

タブの設定 --> 通常セットアップ

Mode --> 分散 --> 続行

下部にリモート・インスタンスが追加される

クラスタマスター自身(CM)に問題が検出されている。

CMのサーバーロールから不必要なものを外す
アクション --> 編集 --> サーバー・ロールの編集


保存

こんな感じ

次にサーチヘッドも管理対象に追加してみる
設定 --> 分散サーチ -->　サーチピア -->　新しいサーチピア

sh1 と sh2について上記設定を行うと以下

再度モニターコンソールに設定からアクセス
モニターコンソールのタブの設定 --> 通常セットアップ
ちゃんとリモートにサーチヘッドが追加されてる

モニターコンソールのタブの概要
構成の概要とリソース使用状況などが確認できる

トポロジー　をクリックするとサーチヘッドとインデクサーのひも付きなどを確認可能