Splunk Indexer クラスター を GUIのみで構築してやるぜ　ポチッとな

#0　目的
インデクサークラスタをCLIでなくGUIのみで構築できるか、確認
CLI便利だけど、しばらくするとコマンド忘れるのよね・・・

#1 インフラ環境設定
デスクトップ(MacBookPro)上の仮想環境(VMware Fusion)にVMを7台(linux)用意
__別にクラウドでも、コンテナでも、物理でもOK。__
    - SearchHead用     SH1, SH2
    - Indexer用        IDX1,IDX2,IDX3
    - LicenseServer用  mngt
    - ClusterMaster用  cm
こんな感じ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/1ab7b1c0-f910-9e23-4732-fd562a3a5d56.png)
リソースは適当に小さくてもOK
    - CPU 1
    - Memory 1024MB

#2 Splunk インストール
インストール後
設定 --> サーバー設定 --> 全般設定 　から Splunkサーバー名 と デフォルトのホスト名 を変更して再起動しておく
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/4423ceb1-f80e-c68e-1e13-9244db6f9568.png)


#3 ライセンスサーバー設定
ライセンスサーバーの設定からライセンスを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/18bf0a12-bc8b-510c-312c-5ae96ceb2c7f.png)
ライセンスの追加
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/790a73c4-4ce4-bc99-3b3e-bb087651b080.png)
ライセンスファイル(XXX.license)を選択し、インストール
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/c22af84a-6e88-4b85-c61b-b0dd907c6165.png)
いますぐ再起動 --> OK
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/b8247548-5ffb-00d7-a850-d303a9d1a5f6.png)
再起動後、ライセンスグループがEnterpriseに設定されていることを確認
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/92fb785a-90cb-1b22-3bdd-27dbf5a74c42.png)

その他6台のサーバーにログインし、設定-->ライセンス-->スレーブに変更
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/9b5a40fa-7bef-9798-6825-0123f53ad1cd.png)
マスターの関連付けの変更で、別のSplunkインスタンスを、マスターライセンスサーバーとして指定
URIにはライセンスサーバーのDNSもしくはIPを指定し、ポートは8089 で保存
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/e7b84987-f2bd-3a3c-aa7f-66804344d810.png)
今すぐ再起動 --> OK
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/a70d36df-eb27-309c-d9b5-d2642c9ca26f.png)
再起動後、ライセンスページから、ライセンスマスターと紐付けられていることを確認
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/ba94eea5-c4e1-6395-6abd-d7be8a34677b.png)
これを6台全部繰り返す・・・・CLIの方が楽かも・・・


#4 Cluster Master設定
クラスタマスター(CM)にログインし、設定 --> インデクサークラスタリング -->インデクサー・クラスタリングを有効にする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/417ca5e6-40ef-033b-d24b-1ed30bc99313.png)
マスターノードを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/a87f1a8f-4388-2f85-d032-0295abca73a6.png)
任意のセキュリティキー と　クラスターラベルを設定し、マスターノードを有効にする -->再起動
※後ほど使う
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/ef82e038-dbe7-ee37-02e9-b4aa2adc65b9.png)
再度ログインするとこんな感じ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/40bf3d82-67ff-1526-fda6-720fcdf40e41.png)
エラーメッセージが出ている
まだクラスタが構成されていないので、当然。無視。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/1e962eda-2de3-0a36-87af-3a007f195c63.png)

#5 IndexerをクラスターのSearch Peerにする
IDX1 ~ 3 にログインし以下を実行
設定 --> インデクサークラスタリング --> インデクサー・クラスタリングを有効にする --> ピアノード -->次へ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/97f558e1-3669-a594-2a8e-9e3cdc7743ad.png)
ピアノード設定 --> ピアノードを有効にする --> 再起動
    - マスターURIにクラスターマスター(cm)のホスト名、もしくはIPにポート:8089を指定
    - ピア複製用ポート 8080
    - セキュリティキー "クラスターマスターの設定#4で設定したもの"
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/1fa841ae-da20-ed2d-4260-079b7363e907.png)
これを IDXサーバー3台で繰り返す
途中エラーになっても、クラスタマスターから認識していれば問題なし
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/45a1c3e2-085d-71cb-0e1c-0bff7b196ebc.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/b4835718-76c3-8fee-b802-96e81368f404.png)
クラスタが複数台登録され、データが同期されるとエラーは消える
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/a81632d5-b9b8-1d53-a055-373a03bebe08.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/8fe8de2e-26d5-bd11-01d8-fee7eecc1c06.png)

#6 SearchHead と IndexCluster の紐付け
SH1 ~ SH2 にログインし以下を実行
設定 --> インデクサークラスタリング --> インデクサー・クラスタリングを有効にする --> サーチヘッドノード -->次へ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/8c1c3798-694b-d63c-540e-14ce4495b2b3.png)
サーチヘッドノード設定 --> サーチヘッドノードを有効にする --> 再起動
    - マスターURIにクラスターマスター(cm)のホスト名、もしくはIPにポート:8089を指定
    - セキュリティキー "クラスターマスターの設定#4で設定したもの"
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/e8829513-7a36-bf32-50ed-dac5ed57e492.png)
再起動後確認
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/a4015724-42b6-ca8e-5d00-532fcf947186.png)

#7 SearchHead から IndexCluseter のデータを検索できるか確認
サーチヘッド(sh1)から自分を含むindexerのデータが検索できればOK

```
index="_internal" | dedup host | table host
```

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/5c4798be-bad4-3e64-dff1-bb368aeac2d3.png)

#8 DMC(Distributed Management Console)の設定
__DMCを設定すると1台のSplunkサーバーからSplunk環境全体(クラスタ＆非クラスタ)を把握できるので便利__
CMにログインし、設定 --> モニターコンソール
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/b8227605-4a5f-6216-2eec-c0ccae95fc25.png)
タブの設定 --> 通常セットアップ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/4857675b-045e-d0ee-5717-03b651953091.png)
Mode --> 分散 --> 続行
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/04940aa0-6083-a66d-0502-6fc942d5be3b.png)
下部にリモート・インスタンスが追加される
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/7e4cc191-d138-fd8b-9774-f22c7bf2ec38.png)
クラスタマスター自身(CM)に問題が検出されている。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/9df1e050-633b-eaff-6fb3-c621a852fbf5.png)
CMのサーバーロールから不必要なものを外す
アクション --> 編集 --> サーバー・ロールの編集
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/261f3948-f639-7250-ec0d-a5fc388584c3.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/ee3e111d-9d28-377e-027e-54571b298b66.png)
保存
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/d3eca0c8-a3a8-32c9-0620-aedebd318d52.png)
こんな感じ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/eb30f2e9-61a2-229f-c69c-71baf52f7605.png)

次にサーチヘッドも管理対象に追加してみる
設定 --> 分散サーチ -->　サーチピア -->　新しいサーチピア
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/8c4cbed6-e508-d15b-c856-8159332d0d75.png)
sh1 と sh2について上記設定を行うと以下
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/745cac15-671c-b0ac-c984-c99685c6852b.png)
再度モニターコンソールに設定からアクセス
モニターコンソールのタブの設定 --> 通常セットアップ
ちゃんとリモートにサーチヘッドが追加されてる
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/3125196a-94e4-1336-7d6f-83943cd4ddde.png)
モニターコンソールのタブの概要
構成の概要とリソース使用状況などが確認できる
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/c67d4f1d-a6f9-da90-87c4-bb46870be7bd.png)
トポロジー　をクリックするとサーチヘッドとインデクサーのひも付きなどを確認可能
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/394817/f707b078-a442-461b-36db-aad5fa8609ba.png)

#まとめ
最低限の設定はGUIのみでもやれることがわかりました。
ただ、その他の現実的に必要な設定、例えばサーチヘッドのログをインデクサーに転送する、などはGUIのみでは難しそうです。
今後もGUIは強化されていくと思いますので、期待しましょう。

参考
https://docs.splunk.com/Documentation/Splunk/7.3.1/Indexer/Clusterdeploymentoverview
https://qiita.com/kikeyama/items/f9900059c5a00c22feda