warmdb、colddbのバックアップ

[satoru0130]

インデックス作成されたwarm・coldデータのバックアップを採取したいのですが、一時的にhotdbからwarmdbへのロールを止めることは可能でしょうか？

splunk自体を停止することができない環境の為、indexes.confでhotdb領域を増やす事は難しいと考えています。
（おそらくsplunkの再起動が必要と思うので）

また、もしロールの停止ができない際、既に生成済みのwarmdbのディレクトリをそのままコピーすると、hotdbからのロールする動きに影響が出たり、db自体に影響が出たりするのでしょうか？

[melonman]

HotからWarmへのロールを強制的に止めておく制御はできないと思います。
Splunk自身を止められない環境であれば、複数のIndexerで稼働しているとおもいますので、
バックアップの際に、1台ずつ停止＆バックアップ＆起動、を繰り返す形になるかと思います。

もしくは、バックアップを取得する際に、warmdbのbucket名とhotdbのbucket名がわかると思いますので、
hotdbを除外したかたちでバックアップを取るという方法は可能かと思います。