Splunk HEC token 白名单设置-indexes

1: 今天看了Splunk 的官网：

inputs.conf - Splunk Documentation

发现index 的inputs.conf 文件里面可以设置白名单：

就是indexes = indexer1,indexer2 这一项default 是没有的，如果加上的话，就是唯一行，下面看一下token 和index 一一对应的设置：

1: 修改/opt/splunk/etc/master-apps/app_name/default/inputs.conf

cat inputs.conf
[http]
disabled = 0

[http://hec_test]
disabled = 0
index = index1

indexes = indexer1,indexer2
sourcetype = s_AAA
token = XXXXX-AAAAA-BBBBB

2: deploy the index from CM to indexer.