この現象は実行したサーチ文が、大量のパイプ（|）で構成された、341個以上のコマンドが入ったものを実行した場合に発生します。サーチで許容されるコマンドの数は、OSや環境により多少の差はありますが、サブサーチ内で使用されているものも含め、おおよそ340個までという仕様になっています。 この値はハードコードされており、値の変更を行うことはできません。対処方法として、サーチで使用されるコマンドの数を減らし、上限を超えないようにしてください。 8.1.6と8.2.3ではプロセスが落ちないように、内部でサーチ文のチェックが入り、上限を超過した場合、下記のエラーがサーチ時に表示されるようになります。 The pipeline size for this search exceeds a search command limit : 340 ... View more

Splunkはシンプルバインド方式でLDAP接続を行いますが、下記すべての条件に当てはまる方は、ADが非SSL接続を拒否するため、設定の変更が必要となります。 ADを使用しており　かつ LDAP (AD)をSplunkの認証方式として設定しており かつ LDAPS (LDAP on SSL)を「非設定」にしている （平文でLDAP接続を行っている） 対処方法として、LDAPのSSL接続化(LDAPS)の設定を行う必要があります。AD側でSSL接続を受け付けるように設定を行った後、authentication.conf 内の SSLEnabled = 1 をSplunk側で設定してください。 このときAD側でSSLの自己証明書を使用する場合、Splunk側で TLS_REQCERT=never または TLSCACertificatePath=<path> （自己証明書で使用したCA証明書が必要） というような設定も併せて $SPLUNK_HOME/etc/openldap/ldap.conf 内で行う必要があります。（この設定に関するドキュメントはこちらです （英語になります）） ... View more

Splunk is using Simple Bind method for LDAP connection. For users who are: Using Active Directory (AD) and Choosing LDAP (AD) as authentication method for Splunk and NOT using LDAPS (LDAP on SSL) will need to take action as AD will deny connection from non-SSL connection when Simple Bind is used. For resolution, users are required to configure AD to accept SSL connection and set SSLEnabled = 1 in authentication.conf file. Note that if self-signed cert is used in AD, settings like TLS_REQCERT=never or TLSCACertificatePath=<path> (CA cert used to generate self-signed cert required) needs to be set in $SPLUNK_HOME/etc/openldap/ldap.conf file. (Link to documentation on this config file) ... View more

一部の環境ではSSL圧縮がボトルネックとなってしまい、決められた時間内でレスポンスが遅れないケースが希にあります。 例えばインデクサ ピア側で、このボトルネックにより、サーチヘッドからの問い合わせにタイムアウトが発生するなどです。 この場合SSL圧縮自体がボトルネックになっているので、下記のようにSSL圧縮をインデクサ側で無効にし、代わりにHTTP圧縮を有効にすることで、トラフィック量を増やすことなく、問題を解決することができます。両設定ともserver.confで記述してください。 [general] useHTTPClientCompression=true [sslConfig] useClientSSLCompression=false ... View more

これは既知の不具合で、7.2.4で修正されています。 また、下記のようなメッセージが表示される場合もあります： ERROR: Failed to migrate mongo feature compatibility version: ERROR while running migrate-kvstore migration. これらのエラーはマイグレーション実行時にKVStoreの証明書が失効している場合や、そのほかの理由でKVStore (mongod)の起動に失敗した場合に表示されます。 この問題はKVStore自体を無効化している場合でも、マイグレーション時に一時的に有効化されるため、発生します。 ■証明書が失効している 証明書が失効した場合は、下記の手順で新規の証明書を生成してください。 １． 新たな証明書をSplunkServerDefaultCertの名で生成します。 # splunk createssl server-cert -d $SPLUNK_HOME/etc/auth -n SplunkServerDefaultCert ２． 念のため失効した証明書のバックアップを取ります。 # mv server.pem server.pem.expired ３． 作成したSplunkServerDefaultCertをデフォルトの証明書名(server.pem)に変更します。 # mv SplunkServerDefaultCert.pem server.pem ４． Splunkを起動します。 # splunk start ■SSLの鍵共有の設定にディフィー・ヘルマン鍵共有(DH)が設定されている splunkdのSSL設定にディフィー・ヘルマン鍵共有(DH)が設定されており、KVStore (mongod)がこの方式に対応していないので、mongod.logファイルに下記エラーが記録されます。 E NETWORK [conn1] SSL: error:1408A0C1:SSL routines:ssl3_get_client_hello:no shared cipher この場合、マイグレーションスクリプトが完了するまで、一旦splunkdのSSL設定を変更してください。 ■ロックファイルが残っている KVStore (mongod)のロックファイルが残ったままであるため、起動に失敗してしまう。 ERROR: [App Key Value Store migration] Service(36) terminated before the service availability check could complete. Exit code 1, waited for 0 seconds. [App Key Value Store migration] Checking if migration is needed. Upgrade type 1. This can take up to 600 seconds. ロックファイル($SPLUNK_HOME/var/lib/splunk/kvstore/mongo/mongod.lock)を手動で削除してください。 ■KVStoreが破損している KVStoreを無効化している場合は、$SPLUNK_HOME/var/lib/splunk/kvstore以下のデータを念のためバックアップし、このディレクトリ以下のデータを消去します。（KVStoreのデータは消去されます！） KVStore内にデータがある場合はマイグレーション前に正常な状態にする必要がありますため、サポートへお問い合わせください。 ... View more

web.confに下記のようなキャッシュを禁ずる設定を入れられていないでしょうか？ replyHeader.Pragma=no-cache マイクロソフト社によりますと、Pragmaヘッダーではなく、 Cache-Control (https://support.microsoft.com/en-au/help/234067/how-to-prevent-caching-in-internet-explorer) ヘッダーの使用を推奨しています。 replyHeader.Cache-Control=no-cache Splunkとしては任意のヘッダーをウェブに入れることを推奨するものではありませんが、社内のポリシー等でキャッシュ制御のヘッダーをどうしても入れる必要がある場合は、上記の設定をお試しください。 ... View more

Splunkはウェブ画面上のアイコンやロゴなどを画像ではなく、ウェブフォント内の文字の一部として格納しております。 従いまして、ブラウザー側でフォントファイルのダウンロードと表示が可能になるよう設定をしておく必要があります。 FirefoxやChromeではほとんど問題なく表示されるようですが、特にIE11では設定が有効になっていない場合、下記の症状が現れます。 一部アイコンが表示されない システムヘルスステータスのアイコンが I と表示され、正しく表示されない 画面左上のSplunkロゴが正しい書体で表示されない このような現象が発生した場合、下記の手順でフォントファイルが正常に表示されるように変更してください。 メニューからインターネットオプションを選びます。 全般タブから「ユーザー補助」ボタンを押下し、「Web ページで指定されたフォントスタイルを使用しない(S)」がチェックされていないことを確認します。 セキュリティタブを選択し、Splunkのサーバーで適応されているゾーンを選択します。 「レベルのカスタマイズ...」を選択します。 「 ダウンロード」配下の「フォントのダウンロード」を探し、「有効にする」を選択します。 「OK」ボタンで 設定を保存します。 念のためIEのウィンドウをすべて閉じ、再起動させます。 ... View more

はい、これはES 5.2.xの既知の問題で、splunkdのポート(8089)が変更されていた場合、本現象が発生します。 現時点でES 5.3.0で修正がされる予定ですが、それまではsplunkdのポートを8089に戻して頂く必要があります。 ... View more

※社内で検討の結果、下記の内容が変更となり、引き続き 通常のサポート窓口で対応可能 になりました。 (2018/9/24 修正） 2018年9月よりSplunkサポート窓口による、C#/Java/JavaScript/Pythonといった、一連のSplunk SDKのサポートは終了となりました。 ただし、SDK本体はライセンスに従い、修正を加えることも可能ですが、その場合はサポート契約の有無に関わらず、サポート対象外になってしまいますのでご注意ください。 サポート契約がないお客様は、下記の通り、お問い合わせください。 不具合等のご連絡： GitHubのIssuesへ起票 一般的なご質問： Splunk Answersへ起票 その他全般的なお問い合わせ： [email protected] （こちらのメールアドレスにご質問をお寄せ頂いても、必ずご返信を差し上げることを保証するものではありません） 各SDKのGitHubサイトの"Community"と"Support"項に実際のリンクが記載されています。 C#: https://github.com/splunk/splunk-sdk-csharp Java: https://github.com/splunk/splunk-sdk-java JavaScript: https://github.com/splunk/splunk-sdk-javascript Python: http://splunk-base.splunk.com/tags/python/ ... View more

これは既知の問題 SPL-155106 によるものの可能性があり、7.0.5と7.1.2で修正される予定です。 デフォルトで有効の、conditional_expansionという機能を実行時に発生するメモリーリークに起因します。 $SPLUNK_HOME/etc/system/local/limits.conf ファイルでenable_conditional_expansion機能を無効にすることで回避することができます。 [search] enable_conditional_expansion_filter = false こちらは隠しオプションのため、設定後下記のようなエラーが表示されますが、設定として有効になっている状態になります。 Invalid key in stanza [search] in /app/splunk/etc/system/local/limits.conf, line xxx: enable_conditional_expansion_filter (value: false) こちらの現象はOS問わず発生し、Universal Forwarderは対象外となります。 現在のところ、このオプション以外で同様の不具合が発生する事象はございません。 conditional_expansion_filter は検索のSPLを解析・最適化するための機能の一つでありますため、本機能を無効にすることで、検索時のパフォーマンスに多少影響する可能性がありますが、検索結果に影響を及ぼすことはありません。 問題が解消されたバージョンへアップデート後に、enable_conditional_expansion_filterの設定を削除してください。（再び有効にします） ... View more