はじめに

従来はデータ基盤毎にクエリ言語の文法を理解する必要がありましたが、分析者の立場に立つとそれを都度習熟するのは非常に負荷が高いです。(特にメインの業務が別である、複数の基盤を見なければいけないケースなど）

そこでSplunk EnterpriseにはSplunk MCP Serverがあり、生成AIから自然言語でSplunkを操作することが可能になっています。(クエリ言語を学ぶハードルが下がっている...!)

したがって本記事では手元の環境でsplunk enterprise(フリー版)をセットアップして生成AI(codex)からsplunkを操作するまでを一通り試したいと思います。

概要

利用する技術要素は以下の通りです。また環境としてはmac(intel)上にsplunk enterpriseをホストする形で構築しています。

docker
splunk enterprise(フリー版の範囲で利用します)
codex

Splunk Enterpriseの構築

イメージのpull

docker pull splunk/splunk

イメージの確認

> docker images
                                                                                                      i Info →   U  In Use
IMAGE                            ID             DISK USAGE   CONTENT SIZE   EXTRA
        
splunk/splunk:latest             22474424c789       6.56GB         1.83GB

起動

<mypassword>は任意のものを設定してください。

docker run -d \
  --name splunk \
  -p 18000:8000 \
  -e 'SPLUNK_START_ARGS=--accept-license' \
  -e 'SPLUNK_GENERAL_TERMS=--accept-sgt-current-at-splunk-com' \
  -e 'SPLUNK_PASSWORD=<mypassword>' \
  splunk/splunk:latest

http://localhost:18000 へアクセスしてUIが見えたら成功です。

Splunk MCP Serverのインストール

splunkのUIへログイン

admin/passwordでログイン

App>Appを名前でサーチにmcpと入力

Splunk MCP Serverをインストール

splunk.com へのログインを求められるので事前に会員登録をしておく。

Tokenの取得

Create MCP Encrypted Tokenを押下しTokenを取得

MCPクライアント(codex)の設定

~./codex/config.tomlに以下を追記
※endpointはlocalhost:18000の前提で記載しています。適宜ご自身の環境に合わせて修正してください。

[mcp_servers.splunk]
command = "npx"
args = [
    "-y",
    "mcp-remote@latest",
    "http://localhost:18000/en-US/splunkd/__raw/services/mcp",
    "--allow-http",
    "--transport",
    "http-only",
    "--header",
    "Authorization: Bearer ${SPLUNK_MCP_TOKEN}",
    "--debug"
]
env_vars = ["SPLUNK_MCP_TOKEN"]
startup_timeout_sec = 30
tool_timeout_sec = 60

MCPクライアントからsplunkへアクセス

codex CLIヘ入る

codex

データ解析の依頼テスト

試しに以下の依頼を実施

› splunk上にどんなデータが入っているか教えて

いくつか許可を求められましたが、すぐ下記の結果が返ってきました。

• Splunk の接続ツールを確認して、まずはインデックスやソースタイプの一覧から中身を把握します。
 ...中略...

 • Splunk 上に入っているデータは、ほぼ Splunk 自身の内部運用ログだけ です。ユーザー/業務アプリのログらしきものは見当たりませんでした。

  調査時点の主なイベント数は以下です。

   index                 件数    内容
  ━━━━━━━━━━━━━━━━  ━━━━━━━━━━  ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
   _internal          約 596k    Splunk daemon、metrics、health、access、MCP server、sidecar/Postgres など
  ────────────────  ──────────  ─────────────────────────────────────────────────────────────────────────────
   _introspection     約 443k    リソース使用量、KV Store、ディスク、HEC メトリクス、search telemetry
  ────────────────  ──────────  ─────────────────────────────────────────────────────────────────────────────
   _audit            約 39.7k    audittrail / audittrailv2。検索、ログイン、設定・ナレッジ操作などの監査ログ
  ────────────────  ──────────  ─────────────────────────────────────────────────────────────────────────────
   _configtracker         336    Splunk 設定変更ログ
  ────────────────  ──────────  ─────────────────────────────────────────────────────────────────────────────
   _telemetry              48    Splunk telemetry / instrumentation

  期間は検索結果上で 2026-08-13 07:52 頃から 2026-08-14 13:53 頃まで。ホストはほぼ 04122f72b6b3、一部 127.0.0.1 です。

  空または実データなしだったものは main, summary, history, _dsappevent, _dsclient, _dsphonehome などです。つまり現状は、外部アプリケーションログや業務データは投入されておらず、Splunk インスタンス自身のログだけが溜
  まっている状態です。

特にデータの投入はしていないため上記の出力が返ってきました。

ダッシュボード作成依頼のテスト

以下の依頼を実施

› splunkのダッシュボードを作ってもらうことはできますか? splunk自身のリソース使用量などをみれるものを作って欲しいです

こちらは少し難航...というかMCPで使っているtokenだけだとダッシュボードの更新ができないようだったので、別途ID/PASSを渡して対応してもらったところできました。
(codex君も指摘してくれていますが、今回横着してチャットでID/PASSを渡しましたが本来は環境変数などで渡した方が良かったかなと思います。)

• できます。まずは現在のワークスペースに Splunk app の設定ファイルを置ける構成があるか確認し、同時に利用可能な Splunk ツールでダッシュボード作成操作までできるか見ます。

...中略...
• 作成できました。URL はこれです。

  http://localhost:18000/en-US/app/search/splunk_self_resource_overview

  確認結果:

  - HTTP 200
  - Splunk Self Resource Overview のページ表示を確認
  - Search app の dashboard として登録済み
  - 更新用スクリプト deploy_splunk_dashboard.sh も動作確認済み

  実運用なら、今回チャットに出したパスワードは後で変更しておくのが無難です。

出来上がったダッシュボード

所感

まず、何もデータを入れていないプレーンなSplunkで今回色々試してみました。

もっといろいろなことをさせたい場合は、テストデータを色々入れてみた上で試してみた方が面白いと思います。

また、今回は仮で立てた環境なのでcodexの処理をそのまま全てAllowして実行させています。
実環境でやるにあたってはしっかり内容の精査をすることはもちろん、token自体の権限制御もしっかりする必要があるかと思います。