はじめに

Splunk を触り始めると必ず出てくる用語が、Forwarder / Indexer / Search Head。
でも「それぞれ何をしているのか」「どう繋がっているのか」が最初はとても分かりにくいですよね。
この記事では、Splunk の基本アーキテクチャをとても簡単に理解することをゴールに解説します。

Splunk の基本構成は、主に3つ

Splunk の構成要素はシンプルです。

コンポーネント	役割
Forwarder	ログを集めて Splunk に送る
Indexer	データの保存・高速検索のためのインデックス化
Search Head	検索を実行し、ダッシュボード・アラートを提供

1. Forwarder の役割 — ログを「届ける」担当

Forwarder はログ収集のエージェントです。
アプリサーバやネットワーク機器のログを Splunk へ送信します。

Forwarder の種類

種類	説明
Universal Forwarder（UF）	軽量な本番向け、最もよく使う
Heavy Forwarder（HF）	イベントの加工が必要な場合

役割

ログファイルの監視（tail）
Syslog 受信
Windows イベントログ収集
データを Indexer へ送信

2. Indexer の役割 — 保存＆高速検索の司令塔

Splunk の“心臓”となる部分。
Forwarder から送られたデータを受け取り、

パース（構造化）
インデックス化（高速検索データ構造に変換）
保存
実際の検索処理を担当
をすべて行います。

Indexer が頑張っているおかげで

数億件のログから数ミリ秒で検索可能
リアルタイム検索ができる
時系列集計が高速
といった Splunk の強みが実現されています。

3. Search Head の役割 — 検索・ダッシュボードの UI 担当

Search Head は Splunk のユーザーインターフェースです。

Search Head がすること

検索クエリ（SPL）を受け取る
Indexer に検索要求を投げる
結果を集約して UI に返す
ダッシュボード表示
アラートの管理

Search Head 自体はログを保持しない

保存しているのは Indexer
Search Head は見える化のためのフロントエンドと考えてOKです。

よくある構成例（Scaled Architecture）

本番環境だと Indexer や Search Head を増やして冗長化します。
これにより

高可用性（HA）
負荷分散
大規模ログでも高性能検索
が実現できます。