イベントをインデックスする前に特定のフィールドの内容を transforms.conf 内の REGEX で加工しているが、4500適度(かそれ以上)の文字のイベントに対し、REGEXで指定した正規表現が正しく処理されない。
transforms.conf 内の REGEX はデフォルトで 4096 文字までしか処理しません。4096 以上の文字を処理したい場合、transforms.conf に LOOKAHEAD を追加し、文字数を指定する必要があります。
http://docs.splunk.com/Documentation/Splunk/latest/Admin/Transformsconf
LOOKAHEAD = <integer>
* NOTE: This option is only valid for index-time field extractions.
* Optional. Specifies how many characters to search into an event.
* Defaults to 4096. You may want to increase this value if you have event line lengths that
exceed 4096 characters (before linebreaking).
transforms.conf 内の REGEX はデフォルトで 4096 文字までしか処理しません。4096 以上の文字を処理したい場合、transforms.conf に LOOKAHEAD を追加し、文字数を指定する必要があります。
http://docs.splunk.com/Documentation/Splunk/latest/Admin/Transformsconf
LOOKAHEAD = <integer>
* NOTE: This option is only valid for index-time field extractions.
* Optional. Specifies how many characters to search into an event.
* Defaults to 4096. You may want to increase this value if you have event line lengths that
exceed 4096 characters (before linebreaking).