稼働中のSplunkからログデータをバックアップしたい

[Shiro]

稼働しているSplunkを止めずにログデータのバックアップを行う方法はないでしょうか？

要件としては、稼働中のSplunkから検証用のSplunkにログデータを丸ごと移行、です。
稼働中のSplunkは止めることができません。

[HiroshiSatoh]

Splunkのデータはインディックス毎にフォルダが作成されているのでフォルダ毎コピーすればよいです。
ただし、ホットバケツ状態のデータはコピーできませんので、コピー先で削除する必要があります。

インディックスフォルダ：splunk／var／lib／splunk
削除するホットバケツのフォルダ：hot_v*のフォルダ
※.bucketManifestからも削除したフォルダと同じPATHの行を削除

ホットバケツをウォームバケツに移行させるには、Splunkを停止させるか、CLIコマンドを実行します。ただし、Splunkが実行状態の場合は常にホットバケツが作成される可能性があるので作成されてしまった場合は削除が必要です。詳しくはマニュアルを参照して下さい。

マニュアル：インデクサーおよびインデクサーのクラスタの管理

[Shiro]

ご回答ありがとうございます。
フォルダのコピーを行う際の具体的な手順は、

1.コピー先（検証用）のSplunkを停止
2.splunk／var／lib／splunk以下をすべて削除
3.フォルダをコピー
4.コピー先のホットバケツの削除＆.bucketManifestの編集
5.検証用のsplunkを起動

という認識で合っていますでしょうか。

[HiroshiSatoh]

手順が漏れました。SPLUNKにデフォルトで存在するインディックス（_internal等）はコピー先でも同じ定義があるので問題ありませんが、追加したインディックスはコピー先に存在しませんのでインディックスの定義を行う必要があります。

システムデフォルトはetc／system／default／indexes.confに定義がありますが、APPSを追加してたりした場合はAPPS配下のフォルダに存在してたりします。コピーしたインディックスが検索できないような場合は定義を追加して下さい。もしくはコピー元と同じAPPSをコピー先にも入れてからコピーして下さい。