解释/参考：https://docs.splunk.com/Documentation/Splunk/7.3.2/DistSearch/SHCarchitecture

说明
在制定部署计划时，架构师应执行以下任务：
* 用例清单。用例清单是一份列出部署将支持的用例，以及数据源、数据量、数据保留、数据模型、仪表盘、报告、警报以及每个用例的角色和权限的文档。用例核对表有助于确定部署的范围和功能，并确定每个用例的依赖关系和要求1
* 数据源清单。数据源清单是一份文件，其中列出了部署将摄取的数据源，以及每个数据源的数据类型、数据格式、数据位置、数据收集方法、数据量、数据频率和数据所有者。数据源清单有助于确定数据摄取策略、数据解析和丰富、数据存储和保留，以及部署的数据安全性和合规性1。
* 审查网络拓扑结构。网络拓扑审查是对部署的网络基础设施和网络连接，以及部署的网络带宽、网络延迟、网络安全和网络监控进行检查的过程。审查网络拓扑结构有助于优化网络性能和可靠性，并确定部署的网络风险和缓解措施1 安装 Splunk 应用程序不是架构师在制定部署计划时应执行的任务，而是管理员在实施部署计划时应执行的任务。安装 Splunk 应用程序是一项技术活动，需要访问 Splunk 实例和 Splunk 配置，而这在规划阶段是无法实现的。

说明
当 Splunk 在非集群环境中索引数据时，默认情况下会创建索引和 .tsidx 文件。索引文件包含 Splunk 已摄取、压缩和加密的原始数据。.tsidx 文件包含映射原始数据的时间戳和事件 ID 的时间序列索引。原始数据文件和索引文件不是 Splunk 创建的文件的正确术语。压缩文件和 .tsidx 文件部分正确，但压缩文件不是索引文件的正确名称。压缩文件和元数据文件也部分正确，但元数据不是 .tsidx 文件的正确名称。

正确答案是 C. 知识对象复制。这是搜索头集群要解决的一个有效用例，因为它可以确保集群中的所有搜索头拥有相同的知识对象集，如保存的搜索、仪表板、报告和警报1。搜索头集群在集群成员间复制知识对象，并同步任何更改或更新1。这可提供一致的用户体验，并避免数据不一致或重复1。其他选项不是搜索头集群所能解决的有效用例。选项 A 是在搜索对等程序发生故障时提供冗余，这不是搜索头集群的用例，而是索引器集群的用例，因为索引器集群会维护索引数据的多个副本，并能从索引器故障中恢复2。选项 B "搜索亲和性 "不是搜索头集群的用例，而是多站点索引器集群的用例，它允许搜索头优先搜索本地站点上的数据，而不是远程站点上的数据3。选项 D "增加搜索因子（SF）"不是搜索头集群的用例，而是索引器集群的用例，它决定了在索引器中为每个数据桶维护多少个可搜索副本4。因此，选项 C 是正确答案，选项 A、B 和 D 不正确。
1: 关于搜索头集群 2: 关于索引器集群和索引复制 3: 配置搜索亲和性 4：
配置搜索系数

说明
部署客户端联系部署服务器的频率由 deploymentclient.conf 中的 phoneHomeIntervalInSecs 属性控制。该属性指定部署客户端多久向部署服务器报到一次，以获取应收到的应用程序和配置的更新。outputs.conf 中的 polling_interval 属性控制转发器向索引器或其他转发器发送数据的频率。deploymentclient.conf 中的 polling_interval 属性和 outputs.conf 中的 phoneHomeIntervalInSecs 属性不是有效的 Splunk 属性。有关详细信息，请参阅 Splunk 文档中的配置部署客户端和使用 outputs.conf 配置转发器。

根据 Splunk 文档1，索引集群知识包是集群主控程序作为集群配置包的一部分分发给对等节点的配置文件。知识包包含与索引和搜索数据相关的知识对象，如事件类型、标记、查找等。群集主节点通过合并驻留在主节点上的应用程序的 app-name/default 和 app-name/local 目录来创建知识包。然后，群集主节点会将知识包推送到对等节点，它们位于
$SPLUNK_HOME/var/run 目录2。其他选项为假，因为
* 只推送应用程序名称/本地。这是假的，因为集群主节点在合并 app-name/default 和 app-name/local 目录后，会将这两个目录推送到对等节点。app-name/local 目录包含本地自定义的应用程序配置，而 app-name/default 目录则包含默认的应用程序配置3。
* 只推送应用程序名称/默认值。这是假的，因为集群主节点在合并 app-name/default 和 app-name/local 目录后，会将这两个目录推送到对等节点。app-name/default 目录包含默认的应用程序配置，而 app-name/local 目录则包含本地自定义的应用程序配置3。
* app-name/default 和 app-name/local 推送时不会有任何更改。这是假的，因为群集
* 在向对等节点推送之前，master 会合并 app-name/default 和 app-name/local 目录。这可确保对等节点拥有最新且一致的应用程序配置3。

影响索引性能的索引时间 props.conf 属性是 LINE_BREAKER 和 SHOULD_LINEMERGE。这些属性决定了 Splunk 如何将输入数据分解为事件，以及是否将多个事件合并为一个事件。这些操作会影响索引速度和磁盘空间消耗。REPORT 属性不会影响索引性能，因为它用于在搜索时应用转换。ANNOTATE_PUNCT 属性不会影响索引性能，因为它用于在搜索时为事件添加标点符号元数据。有关详细信息，请参阅 Splunk 文档中的 [About props.conf and transforms.conf]。

解释/参考：https://docs.splunk.com/Documentation/Splunk/7.3.2/Indexer/Migratetomultisite

说明
在四个站点的索引器集群中，在源站点存储两个可搜索副本，在站点 2 存储一个可搜索副本，总共存储四个可搜索副本的配置是 site_search_factor = origin:2, site2:1, total:4。
该配置要求群集在数据源站点维护两份可搜索数据副本，在站点 2 维护一份可搜索数据副本，在所有站点共维护四份可搜索数据副本。
站点搜索因子决定群集为每个站点维护多少份可搜索数据副本。site_replication_factor 决定群集为每个站点维护多少份原始数据。有关详细信息，请参阅 Splunk 文档中的使用 server.conf 配置多站点索引器群集。

说明
关于 Splunk 索引器集群，下列说法正确的是
* 所有对等节点必须运行完全相同的 Splunk 版本。这是索引器集群的要求，因为不同的 Splunk 版本可能有不同的数据格式或功能，彼此不兼容。所有对等节点必须运行与主节点和连接到群集的搜索头相同的 Splunk 版本。
* 搜索头必须运行与对等节点相同或更晚的 Splunk 版本。这是对索引器集群的建议，因为较新的 Splunk 版本可能会有新功能或错误修复，从而改善搜索功能或性能。搜索头运行的 Splunk 版本不应比对等节点的版本旧，因为这可能会导致搜索错误或失败。下列关于 Splunk 索引器集群的说法错误的是（ ）：
* 主节点必须运行与搜索头相同或更晚的 Splunk 版本。这不是索引器集群的要求或建议，因为主节点不参与搜索过程。主节点应运行与对等节点相同的 Splunk 版本，以确保群集的兼容性和功能性。
* 对等节点必须运行与主节点相同或更晚的 Splunk 版本。这不是索引器集群的要求或建议，因为对等节点不会协调集群活动。对等节点应运行与主节点相同的 Splunk 版本，这样才能确保群集的兼容性和功能。有关详细信息，请参阅 Splunk 文档中的 [About indexer clusters and index replication] 和 [Upgrade an indexer cluster]。

最大限度提高索引性能的最佳做法是尽量减少配置通用性。配置通用性是指对源类型、主机、索引和时间戳等数据输入使用通用或默认设置。尽量减少配置通用性意味着对每个数据输入使用特定的精确设置，这样可以减少处理开销，提高索引吞吐量。使用自动源类型、使用 Splunk 默认设置以及不使用预训练的源类型都是配置通用性的例子，它们会对索引性能产生负面影响

如果怀疑在解释监控协议中的正则表达式时出现问题，最好搜索 tailing_processor.log 文件。该日志文件包含有关 Splunk 如何监控文件和目录的信息，包括与解析监控协议相关的任何错误或警告。splunkd.log 文件包含有关 Splunk 守护进程的一般信息，但可能不包含有关监控协议的具体细节。btool.log 文件包含有关配置文件的信息，但不记录监控脚本的运行时行为。metrics.log 文件包含有关 Splunk 性能指标的信息，但不记录事件中断问题。有关详细信息，请参阅 Splunk 文档中的关于 Splunk Enterprise 日志。

说明
https://docs.splunk.com/Documentation/Splunk/7.3.2/DistSearch/SHCarchitecture