SHC captainの確認方法について

[cwl]

Search Head Clustering (SHC) のバージョン6.5.0を使っていますが、sshを使って、SHCの各ノードにアクセスする権限はないので、"splunk show shcluster-status"コマンドからSHCのcaptainを特定することができず、UIからどのSHCノードがcaptainであるかの確認方法はありますでしょうか。

[cwl · Accepted solution]

各ノードのsplunkd.logを検索することにより、SHCのcaptainを特定することができます。
UIから以下のサーチ文を使うことで、captainを特定することができます。

index=_internal sourcetype=splunkd "All hail leader"

例えば、3ノード(sh1, sh2, sh3)のSHCでsh1がcaptainの場合、sh2およびsh3のsplunkd.logには以下のようなメッセージが表示されるはずです。

INFO  SHCRaftConsensus - All hail leader https://sh1:8089 for term 10