数据如何在 Splunk 中老化?

Splunk进入索引器的数据存储在称为桶的目录中。随着数据老化，存储桶会经历几个阶段：热、温、冷、冻结和解冻。随着时间的推移，桶从一个阶段“滚动”到下一个阶段。

• 当数据第一次被索引时，它会进入一个热桶。热桶既可搜索又可被积极写入。一个索引可以同时打开多个热桶
• 当某些条件发生时（例如，热存储桶达到特定大小或splunkd重新启动），热存储桶变为温存储桶（“滚动到温暖”），并在其位置创建新的热存储桶。暖桶是可搜索的，但不会主动写入。可以有很多温暖的水桶
• 一旦满足进一步的条件（例如，索引达到某个最大数量的暖桶），索引器开始根据它们的年龄将暖桶滚动到冷桶。它总是选择最旧的暖桶滚动到冷。以这种方式老化时，桶会继续变冷
• 一段时间后，冷存储桶会滚动到冻结状态，此时它们将被存档或删除。

存储桶老化策略决定了存储桶何时从一个阶段移动到下一个阶段，可以通过编辑 index.conf 中的属性来修改。

参考文档：

Configure maximum index size - Splunk Documentation

也可参考我的另外一个blog: splunk index 参数设置_shenghuiping2001的博客-CSDN博客