Splunk 索引过程

术语：

Event ：Events are records of activity in log files, stored in Splunk indexes. 简单说，处理的日志或话单中中一行记录就是一个Event；
Source type： 来源类型，identifies the format of the data，简单说，一种特定格式的日志，可以定义为一种source type；Splunk默认提供有500多种确定格式数据的type，包括apache log、常见OS的日志、Cisco等网络设备的日志等；
Index： The index is the repository for Splunk Enterprise data. Splunk transforms incoming data into events, which it stores in indexes. 有两层含义：一是数据物理存储上的表达，也是一个数据处理的动作表达：Splunk indexes your data，这个过程会产生两类数据：
The raw data in compressed form (rawdata)
Indexes that point to the raw data, plus some metadata files (index files)
Indexer： An indexer is a Splunk Enterprise instance that indexes data. 通常说的索引概念，也是对Splunk中“Indexer”这个特定模块的称呼，