Splunk Indexer クラスター を GUIのみで構築してやるぜ ポチッとな

#0　目的
インデクサークラスタをCLIでなくGUIのみで構築できるか、確認
CLI便利だけど、しばらくするとコマンド忘れるのよね・・・

#1 インフラ環境設定
デスクトップ(MacBookPro)上の仮想環境(VMware Fusion)にVMを7台(linux)用意
別にクラウドでも、コンテナでも、物理でもOK。
- SearchHead用 SH1, SH2
- Indexer用 IDX1,IDX2,IDX3
- LicenseServer用 mngt
- ClusterMaster用 cm
こんな感じ

リソースは適当に小さくてもOK
- CPU 1
- Memory 1024MB

#2 Splunk インストール
インストール後
設定 --> サーバー設定 --> 全般設定 　から Splunkサーバー名 と デフォルトのホスト名 を変更して再起動しておく

#3 ライセンスサーバー設定
ライセンスサーバーの設定からライセンスを選択

ライセンスの追加

ライセンスファイル(XXX.license)を選択し、インストール

いますぐ再起動 --> OK

再起動後、ライセンスグループがEnterpriseに設定されていることを確認

その他6台のサーバーにログインし、設定-->ライセンス-->スレーブに変更

マスターの関連付けの変更で、別のSplunkインスタンスを、マスターライセンスサーバーとして指定
URIにはライセンスサーバーのDNSもしくはIPを指定し、ポートは8089 で保存

今すぐ再起動 --> OK

再起動後、ライセンスページから、ライセンスマスターと紐付けられていることを確認

これを6台全部繰り返す・・・・CLIの方が楽かも・・・

#4 Cluster Master設定
クラスタマスター(CM)にログインし、設定 --> インデクサークラスタリング -->インデクサー・クラスタリングを有効にする

マスターノードを選択

任意のセキュリティキー と　クラスターラベルを設定し、マスターノードを有効にする -->再起動
※後ほど使う

再度ログインするとこんな感じ

エラーメッセージが出ている
まだクラスタが構成されていないので、当然。無視。

#5 IndexerをクラスターのSearch Peerにする
IDX1 ~ 3 にログインし以下を実行
設定 --> インデクサークラスタリング --> インデクサー・クラスタリングを有効にする --> ピアノード -->次へ

ピアノード設定 --> ピアノードを有効にする --> 再起動
- マスターURIにクラスターマスター(cm)のホスト名、もしくはIPにポート:8089を指定
- ピア複製用ポート 8080
- セキュリティキー "クラスターマスターの設定#4で設定したもの"

これを IDXサーバー3台で繰り返す
途中エラーになっても、クラスタマスターから認識していれば問題なし


クラスタが複数台登録され、データが同期されるとエラーは消える

#6 SearchHead と IndexCluster の紐付け
SH1 ~ SH2 にログインし以下を実行
設定 --> インデクサークラスタリング --> インデクサー・クラスタリングを有効にする --> サーチヘッドノード -->次へ

サーチヘッドノード設定 --> サーチヘッドノードを有効にする --> 再起動
- マスターURIにクラスターマスター(cm)のホスト名、もしくはIPにポート:8089を指定
- セキュリティキー "クラスターマスターの設定#4で設定したもの"

再起動後確認

#7 SearchHead から IndexCluseter のデータを検索できるか確認
サーチヘッド(sh1)から自分を含むindexerのデータが検索できればOK

index="_internal" | dedup host | table host

#8 DMC(Distributed Management Console)の設定
DMCを設定すると1台のSplunkサーバーからSplunk環境全体(クラスタ＆非クラスタ)を把握できるので便利
CMにログインし、設定 --> モニターコンソール

タブの設定 --> 通常セットアップ

Mode --> 分散 --> 続行

下部にリモート・インスタンスが追加される

クラスタマスター自身(CM)に問題が検出されている。

CMのサーバーロールから不必要なものを外す
アクション --> 編集 --> サーバー・ロールの編集


保存

こんな感じ

次にサーチヘッドも管理対象に追加してみる
設定 --> 分散サーチ -->　サーチピア -->　新しいサーチピア

sh1 と sh2について上記設定を行うと以下

再度モニターコンソールに設定からアクセス
モニターコンソールのタブの設定 --> 通常セットアップ
ちゃんとリモートにサーチヘッドが追加されてる

モニターコンソールのタブの概要
構成の概要とリソース使用状況などが確認できる

トポロジー　をクリックするとサーチヘッドとインデクサーのひも付きなどを確認可能

#まとめ
最低限の設定はGUIのみでもやれることがわかりました。
ただ、その他の現実的に必要な設定、例えばサーチヘッドのログをインデクサーに転送する、などはGUIのみでは難しそうです。
今後もGUIは強化されていくと思いますので、期待しましょう。

参考
https://docs.splunk.com/Documentation/Splunk/7.3.1/Indexer/Clusterdeploymentoverview
https://qiita.com/kikeyama/items/f9900059c5a00c22feda