7.0.xと7.1.xでメモリーが定期的に消費されているように見受けられますが、なぜでしょうか？

[nfutatsugi_splu]

従来のバージョンと比べて、7.0.xや7.1.xではメモリーが定期的に消費されているように見受けられます。なぜでしょうか？

[nfutatsugi_splu · Accepted solution]

これは既知の問題 SPL-155106 によるものの可能性があり、7.0.5と7.1.2で修正される予定です。
デフォルトで有効の、conditional_expansionという機能を実行時に発生するメモリーリークに起因します。
$SPLUNK_HOME/etc/system/local/limits.conf ファイルでenable_conditional_expansion機能を無効にすることで回避することができます。

[search]
enable_conditional_expansion_filter = false

こちらは隠しオプションのため、設定後下記のようなエラーが表示されますが、設定として有効になっている状態になります。

Invalid key in stanza [search] in /app/splunk/etc/system/local/limits.conf, line xxx: enable_conditional_expansion_filter (value: false)

こちらの現象はOS問わず発生し、Universal Forwarderは対象外となります。
現在のところ、このオプション以外で同様の不具合が発生する事象はございません。

conditional_expansion_filter は検索のSPLを解析・最適化するための機能の一つでありますため、本機能を無効にすることで、検索時のパフォーマンスに多少影響する可能性がありますが、検索結果に影響を及ぼすことはありません。

問題が解消されたバージョンへアップデート後に、enable_conditional_expansion_filterの設定を削除してください。（再び有効にします）

[cipherjake]

soskaykakehiさんと同様にメモリリークの問題で7.1.2の導入を検討しております。
7.1.2で本issueが修正されているか教えて頂けないでしょうか？

[cwl]

はい、7.1.2には本事象の修正が含まれています。

[soskaykakehi]

Splunk7.1.2がリリースされましたが、Fixed Issuesの一覧に「SPL-155106」が見当たりません。
Splunk7.1.2ではまだ修正されていないと考えてよろしいでしょうか。

[cwl]

7.1.2には修正されています。fixed issuesには近々反映されるはずです。

[soskaykakehi]

リプライありがとうございます。了解しました、リリースノート反映を待ちます。