我们如何从splunk获取/提取日志数据

问题描述

我在保留3个月的日志详细信息后才刷新（此后我们无法看到任何历史记录），但是我的要求是：我需要将该日志详细信息存储到splunk中的另一个文件夹中，该文件夹包含所有通过转储记录带有历史记录的日志信息。不确定如何从splunk中提取数据。我们可以使用任何Java代码吗？或任何API从splunk中提取日志数据并存储到另一个文件中？

我是新来的。

解决方法

您需要调查以下内容：

• index retention（以及Smart Store）
• 存储可用性
  • 如果您将索引设置为500G或1年，但每天存储50G，则每10天轮换一次
  • 如果您拥有500G或1年的索引集，但只有400G的可用存储空间，它将更快地旋转

,

除了@warren的回答外，请查看indexs.conf中的coldToFrozenDir和coldToFrozenScript设置。这些设置控制着在何处以及如何归档数据而不是删除数据。数据不会导出，但是会以Splunk的专有格式存储。