Löschen von Events eines Jahres

[C4Extadmin]

Hallo

ich möchte alle Events (zum Beispiel) des Jahres 2014 löschen.
Verbunden mit einer Reduzierung des Plattenplatzes.

Gibt es da eine einfache Lösung ?

[martin_mueller]

Wurde dein Problem durch eine der Antworten gelöst?
Falls ja, bitte entsprechend für die Nachwelt als accepted markieren... falls nein, gerne nachfragen oder erläutern.

[martin_mueller]

Wenn du 2014 löschen willst, aber 2013 und 2015 behalten willst, gibt es keine vollständige Lösung, die auch Plattenplatz freigibt. Unvollständig könntest du manuell alle Buckets verschieben, die dem End- und Start-Zeitstempel im Ordnernamen nach nur Events aus 2014 enthalten, Splunk neustarten, verifizieren dass alles geht, und dann die verschobenen Buckets löschen.
So bekommst du den Speicherplatz, allerdings werden einige Events aus 2014 nicht gelöscht - nämlich diejenigen, die sich einen Bucket mit Events aus 2013 oder 2015 teilen.

Wenn du 2014 und alle älteren Events löschen willst, kannst du die frozenTimePeriodInSecs in indexes.conf so setzen, dass Ende 2014 herauskommt - dann räumt Splunk selbstständig alte Buckets auf und gibt Speicherplatz frei.
http://docs.splunk.com/Documentation/Splunk/6.4.0/Admin/indexesconf

[Simon]

Du kannst den dafür Command "delete" nutzen. Achtung: Vorher muss die Berechtigung "can_delete" der Rolle zugewiesen werden).
ZU beachten ist, dass damit die Events nur als gelöscht markiert werden. Das heisst, diese tauchen dann bei weiteren Suche nicht mehr auf aber allerdings wird der von diesen Events verwendete Speicherplatz nicht freigegeben.
Physikalisch, also um Speicherplatz freizugeben, können nur ganze Indexes geleert werden.