Splunk进入索引器的数据存储在称为桶的目录中。随着数据老化,存储桶会经历几个阶段:热、温、冷、冻结和解冻。随着时间的推移,桶从一个阶段“滚动”到下一个阶段。
- 当数据第一次被索引时,它会进入一个热桶。热桶既可搜索又可被积极写入。一个索引可以同时打开多个热桶
- 当某些条件发生时(例如,热存储桶达到特定大小或splunkd重新启动),热存储桶变为温存储桶(“滚动到温暖”),并在其位置创建新的热存储桶。暖桶是可搜索的,但不会主动写入。可以有很多温暖的水桶
- 一旦满足进一步的条件(例如,索引达到某个最大数量的暖桶),索引器开始根据它们的年龄将暖桶滚动到冷桶。它总是选择最旧的暖桶滚动到冷。以这种方式老化时,桶会继续变冷
- 一段时间后,冷存储桶会滚动到冻结状态,此时它们将被存档或删除。
存储桶老化策略决定了存储桶何时从一个阶段移动到下一个阶段,可以通过编辑 index.conf 中的属性来修改。
参考文档: