1行1イベントの形式でファイルにログを書き出すプログラムがあります。
そのファイルをUniversal forwarderにモニタリングさせていますが、1イベントの一部だけしか送信しない場合がが存在します。
傾向としてはファイルへの書き込みが頻発すると発生する頻度が高くなる模様です。
例として
12-18-2013 16:30:05.170 +0900 INFO SavedSplunker - savedsearch_id="nobody;splunk_deployment_monitor;DM indexthru week over week", user="nobody", app="splunk_deployment_monitor", savedsearch_name="DM indexthru week over week", status=success, digest_mode=1, scheduled_time=1387351800, dispatch_time=1387351801, run_time=3.934, result_count=14, alert_actions="", sid="scheduler_nobody_c3BsdW5rX2RlcGxveW1lbnRfbW9uaXRvcg_RMD5bf9668d7e0927215_at_1387351800_5675", suppressed=0, thread_id="AlertNotifierWorker-0"
のようなイベントがあった場合、
edSplunker - savedsearch_id="nobody;splunk_deployment_monitor;DM indexthru week over week", user="nobody
のように一部だけがindexerへ送信されてきます。
1行づつUniversal forwarderがファイルからイベントを読み込み送信するようにするには、
どのようにinputs.confやprops.confファイルを編集すればよいでしょか。
... View more