Table of Contents Splunk Enterprise 분산 배포 개요 Splunk Enterprise 구성 요소로 배포 확장 클러스터를 사용하여 고가용성 및 관리 용이성 실현 데이터가 Splunk Ent erprise에서 이동하는 방법: 데이터 파이프라인 구

Transcription

1 Splunk Enterprise 분산 배포 매뉴얼 생성일: 오후 7시 11분 Copyright (c) 2016 Splunk Inc. All Rights Reserved

2 Table of Contents Splunk Enterprise 분산 배포 개요 Splunk Enterprise 구성 요소로 배포 확장 클러스터를 사용하여 고가용성 및 관리 용이성 실현 데이터가 Splunk Ent erprise에서 이동하는 방법: 데이터 파이프라인 구성 요소와 데이터 파이프라인 배포 환경 관리 지원 구성 요소 분산 배포에 대한 주요 매뉴얼 분산 배포 환경 구현 분산 배포 환경 구현 시작 분산 배포 유형 일반적인 배포 시나리오와 구현 프레임워크 부서 배포 환경: 단일 인덱서 소기업 배포 환경: 단일 검색 헤드와 여러 인덱서 중기업 및 대기업 배포 환경: 검색 헤드 클러스터와 여러 인덱서 고가용성 배포 환경: 인덱서 클러스터 배포 환경 관리 배포 후 작업 분산 배포 모니터링

3 Splunk Enterprise 분산 배포 개요 Splunk Enterprise 구성 요소로 배포 확장 단일 인스턴스 배포 환경에서는 하나의 Splunk Enterprise 인스턴스가 데이터 입력부터 인덱싱과 검색에 이르는 데이터 처 리의 모든 측면을 다룹니다. 단일 인스턴스 배포는 테스트 및 평가에 유용할 수 있으며, 부서 규모의 환경에 필요할 수 있습니 다. 그러나 데이터가 여러 컴퓨터에서 발생하고 많은 사용자가 데이터를 검색해야 하는 더 큰 환경을 지원하기 위해 여러 Splunk Enterprise 인스턴스를 여러 컴퓨터로 분산시킴으로써 배포 환경을 확장할 수 있습니다. 이때 각 인스턴스가 특수 작업을 수 행하도록 설정할 수 있습니다. 예를 들어 하나 이상의 인스턴스에서 데이터를 인덱싱하는 한편 다른 인스턴스에서는 데이터 검색을 관리할 수 있습니다. 이 매뉴얼에서는 Splunk Enterprise를 여러 컴퓨터에 분산시키는 방법에 대해 설명합니다. 분산 배포를 사용하면 Splunk Enterprise 기능을 확장하여 기업의 규모와 복잡성에 관계없이 데이터 관련 요구 사항에 대처할 수 있습니다. 다양하거나 분산된 데이터 원본에 액세스할 수 있습니다. 데이터 복제와 멀티 사이트 배포를 통해 고가용성을 실현하고 재해 복구를 보장할 수 있습니다. Splunk Enterprise의 확장 방법 Splunk Enterprise는 데이터를 처리하면서 세 가지의 중요한 기능을 수행합니다. 1. 파일, 네트워크 및 기타 원본에서 데이터를 수집합니다. 2. 데이터를 파싱하고 인덱싱합니다. 3. 인덱싱된 데이터에 대해 검색을 실행합니다. 시스템을 확장하기 위해 이런 기능을 Splunk Enterprise의 여러 특수 인스턴스에 걸쳐 나눌 수 있습니다. 이런 인스턴스의 수는 처리하는 데이터의 양과 기타 환경 변수에 따라 몇 개부터 수천 개까지 광범위할 수 있습니다. 일반적인 분산 배포 환경에서 각 인스턴스는 주요 처리 기능에 각각 해당되는 다음 세 단계 중 하나를 담당합니다. 데이터 입력 인덱싱 검색 관리 예를 들어 데이터를 수집하기만 하는 여러 인스턴스와 데이터를 인덱싱하는 다른 인스턴스 몇 개, 검색을 관리하는 인스턴스 1개를 포함하는 배포 환경을 만들 수 있습니다. 몇 단계를 합치거나 처리를 다른 방법으로 설정할 수도 있지만, 이 세 단계는 일반적으로 대부분의 분산 배포 환경에 포함됩 니다. Splunk Enterprise 구성 요소 Splunk Enterprise의 특수 인스턴스를 총칭하여 구성 요소라고 합니다. 한 가지 예외를 제외하고, 구성 요소는 인덱싱 또는 검색 등 하나 이상의 특정한 기능에 집중하도록 설정된 전체 Splunk Enterprise 인스턴스입니다. 예외는 별도의 실행 파일이 있는 Splunk Enterprise 경량 버전인 유니버설 포워더입니다. Splunk Enterprise 구성 요소는 몇 가지 유형이 있으며, 크게는 두 가지 범주로 나뉩니다. 처리 구성 요소. 처리 구성 요소는 데이터를 처리합니다. 관리 구성 요소. 관리 구성 요소는 처리 구성 요소의 작업을 지원합니다. 이 항목에서는 처리 구성 요소에 대해 소개하고 각 구성 요소가 Splunk Enterprise 배포 환경에서 수행하는 역할에 대해 설 명합니다. 관리 구성 요소에 대한 내용은 "배포 관리 지원 구성 요소"를 참조하십시오. 처리 구성 요소의 유형 처리 구성 요소는 다음 세 가지 유형으로 나뉩니다. 포워더 인덱서 검색 헤드 포워더는 데이터를 수집합니다. 포워더는 몇 가지 유형으로 나뉘지만, 유니버설 포워더가 대부분의 용도에 적합한 선택입니 다. 유니버설 포워더는 간단히 데이터를 입력하고 최소한의 데이터 처리 작업을 수행한 후 데이터를 인덱서에 전달하는 Splunk Enterprise 경량 버전을 사용합니다. 이 포워더에는 최소한의 리소스만 필요하기 때문에 웹 서버처럼 데이터를 생성 하는 컴퓨터에 공동 설치할 수 있습니다. 인덱서와 검색 헤드는 각각 인덱싱 또는 검색 관리라는 특수한 기능만 수행하도록 설정된 Splunk Enterprise 인스턴스를 사용하여 구축합니다. 각 인덱서와 검색 헤드는 일반적으로 전용 컴퓨터에 상주하는 개별 인스턴스입니다. 3

4 처리 구성 요소 사용 예 아래 그림은 처리 구성 요소가 다양한 처리 단계에 상주할 수 있는 방법을 보여주는 간단한 예입니다. 이 예에서는 소기업의 요구 사항을 충족하는 데 도움이 될 수 있는 배포 유형을 그림으로 설명합니다. 그림에서는 소기업 배포 환경을 기준으로 처리의 3단계를 아래쪽부터 설명합니다. 데이터 입력. 데이터는 외부 데이터를 소비하고 해당 데이터에 대해 소량의 사전 처리 작업을 수행한 후 데이터를 인 덱서에 전달하는 포워더를 통해 시스템에 유입됩니다. 일반적으로 포워더는 데이터를 생성하는 컴퓨터에 공동 설치됩 니다. 데이터 원본에 따라 데이터를 수집하는 수백 개의 포워더가 있을 수 있습니다. 인덱싱. 2-3개의 인덱서가 포워더에서 들어오는 데이터를 수신하여 인덱싱하고 저장합니다. 인덱서는 검색 헤드의 요 청에 따라 해당 데이터를 검색하기도 합니다. 인덱서는 전용 컴퓨터에 상주합니다. 검색 관리. 검색 헤드 하나가 검색 관리 기능을 수행합니다. 검색 헤드는 사용자의 검색 요청을 처리하고, 로컬 데이터 에 대해 실제로 검색 작업을 수행하는 여러 인덱서로 요청을 분산시킵니다. 그런 다음 검색 헤드는 모든 인덱서에서 얻 은 결과를 통합하여 사용자에게 제공합니다. 검색 헤드는 사용자에게 대시보드 같은 다양한 도구를 제공하여 검색 경 험을 지원합니다. 검색 헤드는 전용 컴퓨터에 상주합니다. 시스템을 확장하려면 각 단계에 구성 요소를 더 추가할 수 있습니다. 더 쉽게 관리하거나 고가용성 요건을 충족하기 위해 구 성 요소를 인덱서 클러스터 또는 검색 헤드 클러스터로 그룹화할 수 있습니다. "클러스터를 사용하여 고가용성 및 관리 용 이성 실현"을 참조하십시오. 이 매뉴얼에서는 단일 부서 또는 글로벌 기업의 데이터를 관리하는 등의 다양한 상황에서 배포 환경을 필요에 맞게 확장하는 방법에 대해 설명합니다. 다음 내용 이 장의 나머지 부분에서는 주로 데이터가 시스템에 유입될 때부터 사용자가 데이터를 검색에 사용할 수 있게 되는 시점까지 의 데이터 파이프라인에 대해 집중적으로 설명합니다. 이어서 Splunk Enterprise 처리 구성 요소와 각 구성 요소의 데이터 파이프라인 지원 역할에 대해 설명합니다. 나머지 항목에서는 인덱서 및 검색 헤드 클러스터, 관리 구성 요소, 각 구성 요소 유형의 설정에 대한 세부 정보가 수록된 매 뉴얼에 대해 설명합니다. 이 매뉴얼의 나머지 장에서는 분산 배포 환경을 구현하는 데 필요한 실용적인 내용을 안내합니다. 우선 대표적인 배포 유형에 대해 설명합니다. 그런 다음 각 배포 환경의 구현에 대한 전반적인 프레임워크를 제시합니다. 그리고 마지막으로 관리자가 배 포 후에 수행해야 하는 작업에 대해 설명합니다. 4

5 클러스터를 사용하여 고가용성 및 관리 용이성 실현 특정 Splunk Enterprise 구성 요소를 클러스터로 그룹화하여 작업을 서로 조정하도록 할 수 있습니다. 목적은 크게 두 가지 입니다. 고가용성 관리 용이성 인덱서 클러스터 인덱서 클러스터는 시스템이 모든 데이터의 여러 복사본을 유지하도록 하기 위해 서로의 데이터를 복제하도록 설정한 Splunk Enterprise 인덱서 그룹입니다. 이 프로세스를 인덱스 복제라고 합니다. 클러스터는 Splunk Enterprise 데이터의 동 일한 복사본을 여러 개 유지하여 데이터 손실을 방지하면서 검색할 데이터의 가용성을 높입니다. Splunk Enterprise 클러스터는 하나의 인덱서에서 그 다음 인덱서로 자동 페일오버를 수행합니다. 즉, 하나 이상의 인덱서가 실패해도 수신 데이터를 계속 인덱싱할 수 있으며 인덱스 데이터를 계속 검색할 수 있습니다. 클러스터의 몇 가지 특징은 고가용성을 개선함은 물론 분산 배포 환경을 간단하게 관리하는 데 도움이 됩니다. 예: 클러스터에는 설정 업데이트를 클러스터의 모든 인덱서에 걸쳐 쉽게 조정하는 기능이 있습니다. 클러스터에는 분산 검색 기능이 내장되어 있습니다. 클러스터에는 여러 포워더에서 클러스터의 모든 인덱서에 부하를 자동으로 분산시키기 위해 사용할 수 있는 인덱서 검 색 기능이 있습니다. 환경에서 고가용성이 중요하지 않은 경우에도 인덱스를 복제하지 않고 인덱서 클러스터를 배포하여 간단한 관리 기능의 이 점을 활용할 수 있습니다. 인덱서 클러스터 구현에 대한 설명은 "고가용성 배포 환경: 인덱서 클러스터"를 참조하십시오. 검색 헤드 클러스터 검색 헤드 클러스터는 검색을 위한 중앙 리소스로 사용되는 검색 헤드 그룹입니다. 검색 헤드는 knowledge object 및 앱과 기타 모든 설정을 서로 공유합니다. 클러스터의 모든 검색 헤드에서 동일한 검색을 실행하고, 동일한 대시보드를 보고, 동일 한 검색 결과에 액세스할 수 있습니다. 검색 헤드 클러스터를 사용하여 얻을 수 있는 이점은 다음과 같습니다. 수평 확장. 사용자 수와 검색 부하가 증가하면 클러스터에 새 검색 헤드를 추가할 수 있습니다. 검색 헤드 클러스터를 사용자와 클러스터 사이에 있는 타사 부하 분산 장치와 결합하면 사용자가 토폴로지를 투명하게 볼 수 있습니다. 고가용성. 검색 헤드가 작동 중단될 경우 클러스터의 다른 검색 헤드에서 동일한 검색 집합을 실행하고 동일한 검색 결과 집합에 액세스할 수 있습니다. 단일 고장 지점 없음. 검색 헤드 클러스터는 동적 캡틴을 사용하여 클러스터를 관리합니다. 캡틴이 작동 중단될 경우 다른 검색 헤드가 자동으로 클러스터 관리를 책임집니다. 검색 헤드 클러스터 구현에 대한 설명은 "중소 기업 배포 환경: 검색 헤드 클러스터와 여러 인덱서"를 참조하십시오. 데이터가 Splunk Enterprise에서 이동하는 방법 : 데이터 파이프라인 Splunk Enterprise 배포 환경의 각 처리 단계는 데이터가 Splunk Enterprise에서 이동하는 경로인 데이터 파이프라인에 해 당합니다. 처리 단계와 데이터 파이프라인 Splunk Enterprise 배포 환경은 일반적으로 다음과 같은 3개의 처리 단계를 포함합니다. 데이터 입력 인덱싱 검색 관리 "Splunk Enterprise 구성 요소로 배포 확장"을 참조하십시오. 각 Splunk Enterprise 처리 구성 요소는 이 중 한 단계에 상주합니다. 각 단계는 데이터 파이프라인에서 발생하는 프로세스 를 함께 지원합니다. 데이터가 데이터 파이프라인을 따라 이동할 때 Splunk Enterprise 구성 요소는 외부 원본에서 가져온 로그 파일과 네트워크 피드 같은 데이터 원본을 가치 있는 지식을 포함하는 검색 가능한 이벤트로 변환합니다. 데이터 파이프라인은 다음 세그먼트로 구성됩니다. 입력 파싱 인덱싱 검색 일반적인 처리 단계 3개와 데이터 파이프라인 세그먼트 4개의 관계는 다음과 같습니다. 5

6 데이터 입력 단계에서 입력 세그먼트를 처리합니다. 인덱싱 단계에서 파싱 및 인덱싱 세그먼트를 처리합니다. 검색 관리 단계에서 검색 세그먼트를 처리합니다. 아래 도표는 데이터 파이프라인을 나타내는 그림입니다. Splunk Enterprise 인스턴스는 하나 이상의 데이터 파이프라인 세그먼트에 참여합니다. "구성 요소와 데이터 파이프라인"을 참조하십시오. 참고: 이 도표에서는 인덱싱 아키텍처를 간단히 보여줍니다. 이 도표는 인덱싱 아키텍처의 기능을 보여주는 뷰이며 Splunk Enterprise 내부를 완벽하게 설명하는 것은 아닙니다. 특히 파싱 파이프라인은 실제로 파싱, 병합, 입력의 세 가지 파이프라 인으로 구성되어 있으며, 이들 파이프라인이 함께 파싱 기능을 처리합니다. 문제 해결 중에는 각 파이프라인을 구별해야 하지 만, 일반적으로 Splunk Enterprise 구성 요소를 설정하거나 배포하는 방식에는 영향을 미치지 않습니다. 더 자세한 데이터 파이프라인 그림은 커뮤니티 위키에서 "인덱싱 작동 방식"을 참조하십시오. 데이터 파이프라인 세그먼트에 대한 심층 정보 이어지는 내용에서는 데이터 파이프라인의 각 세그먼트에 대해 더 자세히 설명합니다. 파싱 및 인덱싱 세그먼트에 대한 자세 한 내용은 인덱서 및 인덱서 클러스터 관리 매뉴얼의 "인덱싱 작동 방식"도 참조하십시오. 입력 입력 세그먼트에서는 Splunk Enterprise가 데이터를 사용합니다. Splunk는 원본에서 원시 데이터 스트림을 가져와서 64K 블록으로 나누고 몇 개의 메타데이터 키를 각 블록에 주석으로 추가합니다. 키는 전체 입력 원본에 적용됩니다. 키에는 데이 터의 host, source 및 source type이 있습니다. 또한 키에는 데이터 스트림의 문자 인코딩처럼 Splunk Enterprise에서 내 부적으로 사용하는 값과 각 이벤트를 저장할 인덱스처럼 데이터의 후속 처리를 제어하는 값도 있습니다. 이 단계에서 Splunk Enterprise는 데이터 스트림의 내용을 확인하지 않으므로 키는 개별 이벤트가 아닌 전체 원본에 적용됩 니다. 실제로 Splunk Enterprise는 이 시점에 개별 이벤트를 전혀 인식하지 않고 특정 전역 속성이 있는 데이터 스트림만 인 6

7 식합니다. 파싱 파싱 세그먼트에서 Splunk Enterprise는 데이터를 조사 및 분석하고 변환합니다. 이러한 작업을 이벤트 처리라고도 합니다. 이 단계에서 Splunk Enterprise는 데이터 스트림을 개별 이벤트로 나눕니다. 파싱 단계는 다음과 같은 여러 하위 단계로 구 성됩니다. 인덱싱 데이터 스트림을 개별 줄로 나누는 단계 타임스탬프를 식별 및 파싱하고 설정하는 단계 원본 전체 키에서 복사한 메타데이터를 개별 이벤트에 주석으로 추가하는 단계 Splunk Enterprise regex 변환 규칙에 따라 이벤트 데이터와 메타데이터를 변환하는 단계 인덱싱 도중에 Splunk Enterprise는 파싱된 이벤트를 가져와서 디스크에 있는 인덱스에 기록합니다. Splunk는 압축된 원시 데이터 및 해당되는 인덱스 파일을 모두 기록합니다. 파싱과 인덱싱을 합쳐서 간단히 인덱싱 프로세스라고도 합니다. 개괄적인 수준에서는 이렇게 합치는 것이 합리적입니다. 하 지만 실제 데이터 처리에 대해 더 자세히 알아보거나 구성 요소를 할당할 방법을 결정해야 할 때는 두 세그먼트를 개별적으 로 고려하는 것이 중요할 수 있습니다. 검색 검색 세그먼트에서는 사용자가 인덱스 데이터에 액세스하고 해당 데이터를 보고 사용하는 방법의 모든 측면을 관리합니다. 검색 기능의 일부로, Splunk Enterprise는 사용자가 만든 knowledge object(보고서, event type, 대시보드, 경고 및 필드 추출 등)를 저장합니다. 검색 기능은 검색 프로세스 자체도 관리합니다. 다음 단계 데이터 파이프라인 프로세스는 항상 배포 환경의 규모와 성격에 관계없이 거의 동일한 방법으로 작동하지만, 배포 환경을 설 계할 때는 파이프라인을 고려하는 것이 중요합니다. 그러기 위해서는 Splunk Enterprise 구성 요소가 데이터 파이프라인 세 그먼트에 어떻게 매핑되는지 알아야 합니다. "구성 요소와 데이터 파이프라인"을 참조하십시오. 구성 요소와 데이터 파이프라인 데이터 파이프라인의 각 세그먼트는 하나 이상의 Splunk Enterprise 처리 구성 요소에 해당됩니다. 예를 들어 데이터 입력 은 파이프라인 세그먼트입니다. 인덱서 또는 포워더를 사용하여 데이터를 입력할 수 있습니다. 대부분의 데이터 파이프라인 세그먼트는 여러 구성 요소 유형에 의해 처리될 수 있습니다. 세그먼트에 사용하는 구성 요소는 배포 환경을 구성하는 방법에 따라 결정됩니다. 예를 들어 데이터를 인덱서에 직접 입력할 수도 있지만, 이 방법은 일반적으로 인스턴스 하나를 포함하는 작은 배포 환경에 서만 사용합니다. 더 큰 배포 환경이나 단일 인스턴스 배포 환경에서는 포워더를 사용하여 데이터를 입력하는 경우가 많습니 다. 입력 작업을 포워더에 위임하면 배포 환경을 더 유연하게 구성할 수 있습니다. 데이터 파이프라인에 대한 내용은 "데이터가 Splunk Enterprise에서 이동하는 방법: 데이터 파이프라인"을 참조하십시오. 처리 구성 요소에 대한 내용은 "Splunk Enterprise 구성 요소로 배포 확장"을 참조하십시오. 각 구성 요소가 데이터 파이프라인을 지원하는 방법 아래 테이블에는 데이터 파이프라인 세그먼트와 해당 세그먼트를 처리할 수 있는 구성 요소가 나와 있습니다. 데이터 파이프라인 세그먼트 데이터 입력 파싱 인덱싱 검색 구성 요소 인덱서 유니버설 포워더 헤비 포워더 인덱서 헤비 포워더 인덱서 인덱서 검색 헤드 일반적인 구성 요소 간 상호 작용의 예 다음은 Splunk Enterprise 기능을 분산시키고 관리할 수 있는 방법의 몇 가지 예입니다. 인덱서에 데이터 전달 7

8 대부분의 배포 환경에서는 포워더가 데이터를 수집하고 Splunk Enterprise 인덱서로 보내는 데이터 입력만 처리합니다. 그 러면 인덱서가 파싱과 인덱싱을 모두 수행합니다. 그러나 일부 배포 환경에서는 포워더도 데이터를 파싱한 후 인덱서로 보내 는데, 이 경우 인덱서에서는 인덱싱 작업만 수행합니다. 파싱과 인덱싱의 차이점은 "데이터가 Splunk Enterprise에서 이동하는 방법: 데이터 파이프라인"을 참조하십시오. 포워더는 다음의 두 가지가 있습니다. 유니버설 포워더. 호스트 컴퓨터에서 작은 공간을 차지합니다. 이 포워더는 인덱서로 수신 데이터를 전달하기 전에 약 간의 수신 데이터 스트림 처리 작업을 수행합니다. 그러면 인덱서에서 데이터를 파싱하고 인덱싱합니다. 헤비 포워더. Splunk Enterprise 전체 인스턴스의 더 많은 기능을 유지합니다. 데이터를 수신 인덱서로 전달하기 전에 데이터를 파싱할 수 있습니다. 헤비 포워더가 데이터를 파싱하는 경우 인덱서는 인덱싱 세그먼트만 처리합니다. 이 두 가지 유형의 포워더는 모두 데이터를 인덱서로 전달하기 전에 host, source, source type과 같은 메타데이터를 사용 하여 데이터 태그를 지정합니다. 포워더를 통해 서로 다른 유형의 데이터나 대용량 데이터를 처리할 때 리소스를 효율적으로 사용할 수 있습니다. 또한 부하 분산, 데이터 필터링 및 라우팅 기능을 제공함으로써 다양한 관련 배포 토폴로지를 구현할 수 있습니다. 포워더의 설정 및 구체적인 이용 사례 등 포워더에 대한 자세한 내용은 데이터 전달 매뉴얼의 "전달 및 수신"을 참조하십시 오. 다중 인덱서에서 검색 분산 검색에서는 인덱싱/파싱과 검색 세그먼트를 분리합니다. 검색 헤드는 검색 요청을 인덱서로 보내고 결과를 병합하여 사 용자에게 다시 제공합니다. 이 토폴로지는 수평 확장에 특히 유용합니다. 배포 환경을 부서 수준 이상으로 확장하려면 분산 검색을 사용할 수 있습니다. 설정 및 구체적인 이용 사례 등을 포함하여 분산 검색에 대해 자세히 알아보려면 분산 검색 매뉴얼의 "분산 검색"을 참조하십 시오. 설정과 데이터 파이프라인 다양한 Splunk Enterprise 설정을 구성하는 위치에 대한 내용은 관리자 매뉴얼의 "설정 매개변수와 데이터 파이프라인"을 참조하십시오. 이 항목에는 구성 설정과 해당 설정이 적용되는 데이터 파이프라인 세그먼트가 나열되어 있습니다. Splunk Enterprise 토폴로지에서 데이터 파이프라인의 각 세그먼트를 처리하는 구성 요소를 알면 이 항목을 읽고 특정한 설 정을 구성하는 위치를 파악할 수 있습니다. 예를 들어 검색 헤드를 사용하여 검색 세그먼트를 처리하는 경우 검색 헤드에서 모든 검색 관련 설정을 구성해야 합니다. 참고 항목 Splunk Enterprise 분산 환경의 기본 구성 요소를 요약하면 다음과 같습니다. 인덱서. 인덱서 및 인덱서 클러스터 관리 매뉴얼의 "인덱스 및 인덱서"를 참조하십시오. 포워더. 데이터 전달 매뉴얼의 "전달 및 수신"을 참조하십시오. 검색 헤드. 분산 검색 매뉴얼의 "분산 검색"을 참조하십시오. 배포 환경 관리 지원 구성 요소 관리 구성 요소는 처리 구성 요소 작업을 지원합니다. 배포 환경에는 일반적으로 다음 관리 구성 요소가 하나 이상 포함됩니 다. 분산 관리 콘솔에서는 전체 배포 환경의 중앙 모니터링을 수행합니다. 배포 서버에서는 설정을 업데이트하고 앱을 처리 구성 요소(주로 포워더)에 배포합니다. 라이선스 마스터에서는 Splunk Enterprise 라이선싱을 처리합니다. "마스터 노드"라고도 하는 클러스터 마스터에서는 인덱서 클러스터의 작업을 조정합니다. 인덱서 클러스터 업데이 트도 처리합니다. 주 배포 노드에서는 검색 헤드 클러스터 업데이트를 처리합니다. 처리 구성 요소와 마찬가지로, 관리 구성 요소도 특별히 설정된 Splunk Enterprise 인스턴스 버전입니다. 구성 요소와 워크로드에 따라 2개 이상의 관리 구성 요소를 종종 Splunk Enterprise 인스턴스 하나에 합칠 수 있습니다. 경우 에 따라 관리 구성 요소를 처리 구성 요소와 동일한 인스턴스에 배치할 수 있습니다. 공동 배치 가능 여부에 대해 알아보려면 해당 구성 요소에 대한 설명서를 참조하십시오. 분산 관리 콘솔에 대한 내용은 분산 관리 콘솔 매뉴얼에서 "어떤 인스턴스가 콘솔을 호스트해야 합니까?"를 참조하십 시오. 배포 서버에 대한 내용은 Splunk Enterprise 인스턴스 업데이트 매뉴얼에서 "배포 계획"을 참조하십시오. 라이선스 마스터에 대한 내용은 관리자 매뉴얼에서 "라이선스 마스터 설정"을 참조하십시오. 클러스터 마스터에 대한 내용은 인덱서 및 인덱서 클러스터 관리 매뉴얼에서 "마스터 노드의 추가 역할"을 참조하십시 8

9 오. 주 배포 노드에 대한 내용은 분산 검색 매뉴얼에서 "주 배포 노드 요구 사항"을 참조하십시오. 분산 배포에 대한 주요 매뉴얼 모든 Splunk Enterprise 기능을 분산 배포 환경에서 사용할 수 있으므로, 모든 Splunk Enterprise 매뉴얼은 배포 환경의 잠 재력을 완전히 실현하는 데 중요합니다. 그러나 배포 환경을 설정하고 구성할 때 특히 중요한 매뉴얼이 몇 개 있습니다. 다음 매뉴얼은 대부분 구성 요소 유형별로 정리되어 있습니다. 설치 매뉴얼. Splunk Enterprise 인스턴스를 설치하는 방법에 대해 설명합니다. 데이터 전달. 모든 유형의 포워더를 설치 및 배포하고 설정하는 방법에 대해 설명합니다. 인덱서 및 인덱서 클러스터 관리. 인덱서를 설정하는 방법과 인덱서 클러스터를 배포 및 설정하는 방법에 대해 설명합 니다. 분산 검색. 분산 검색에 대해 설명합니다. 구체적으로 검색 헤드 설정, 인덱서와 검색 헤드 연결, 그리고 검색 헤드 클러 스터 배포 및 설정 등에 대해 설명합니다. 데이터 가져오기. 데이터 입력 범위 설정에 대한 지침을 제시합니다.* 관리자 매뉴얼. 관리와 관련된 다양한 작업에 대 해 설명합니다. 라이선스 마스터에 관한 장은 배포 환경을 설정할 때 특히 중요합니다. 분산 관리 콘솔 매뉴얼. 분산 관리 콘솔 설정과 콘솔을 사용하여 배포 환경을 모니터링하는 방법에 대해 설명합니다. Splunk Enterprise 인스턴스 업데이트. 배포 서버를 사용하여 배포 환경의 구성 요소를 업데이트하는 방법에 대해 설 명합니다. 분산 배포 환경 구현 분산 배포 환경 구현 시작 Splunk Enterprise 배포 환경은 하루에 몇 기가바이트의 데이터만 인덱싱하고 데이터를 검색하는 사용자 몇 명만 지원하는 부서별 단일 인스턴스 배포 환경에서 테라바이트 규모의 인덱싱이 요구되고 수백 명의 직원이 검색 작업을 수행하는 여러 데 이터 센터에 걸쳐 분산된 대기업 배포 환경에 이르기까지 광범위합니다. Splunk Enterprise의 실제 운영 배포 환경을 구현하려면 일반적으로 포워더, 검색 헤드 및 인덱서 같은 다양한 구성 요소를 설치하고 설정해야 합니다. 이 매뉴얼에는 부서 배포부터 대기업 배포에 이르는 다양한 규모의 일반적인 분산 배포 시나리오 의 구현에 대한 여러 프레임워크가 포함되어 있습니다. 이런 프레임워크는 구현 프로세스를 탐색하기 위해 사용할 수 있는 개괄적인 로드맵의 역할을 합니다. 각 프레임워크에서는 일반적인 배포 시나리오에 대해 설명한 후 해당 시나리오의 구현 프로세스에 대한 개요와 프로세스의 각 단계에 대한 자세한 설명서로 연결되는 링크를 제공합니다. 가장 유용할 것으로 생각되는 시나리오를 선택하고 해당 프레임워크를 따르십시오. 프레임워크를 따르면 실제로 가동되는 배포 환경을 갖게 됩니다. 이때 사용자를 설정하고 보안 문제에 대처한 후 마지막으로 최종 사용자를 위해 대시보드와 검색 같은 knowledge object를 만드는 등의 다양한 관리 작업에 집중하기 시작할 수 있습니다. Splunk Enterprise 구성 요소 및 배포 시나리오 Splunk Enterprise 실제 운영 배포 환경을 구현하려면 다양한 Splunk Enterprise 구성 요소를 설치해야 합니다. 설치하는 특 정 구성 요소는 배포 유형에 따라 다릅니다. Splunk Enterprise 인스턴스 하나가 인덱서와 검색 헤드의 역할을 모두 담당하 는 단일 인스턴스 배포 환경을 구현하려는 경우에도 해당 인스턴스에 데이터를 공급할 포워더를 데이터 생성 호스트에 설치 해야 합니다. 단일 인스턴스보다 큰 규모로 확장하려면 여러 유형의 Splunk Enterprise 구성 요소를 설치하고 설정해야 합니 다. 설정하는 구성 요소는 배포 환경의 규모와 구체적인 요구 사항에 따라 다릅니다. 예를 들어 데이터 고가용성을 보장하는 배포 환경을 구현하려면 고가용성이 그다지 중요하지 않은 배포 환경과 다른 설정이 요구됩니다. 다양한 구성 요소는 대부분 역할에 따라 서로 다르게 설정된 동일한 Splunk Enterprise 소프트웨어 패키지를 사용하여 구축 됩니다. 경량 Splunk Enterprise 패키지를 사용하는 유니버설 포워더는 예외입니다. 구성 요소에 대한 자세한 설명은 "Splunk Enterprise 구성 요소로 배포 확장"을 참조하십시오. 시작 방법 배포 환경을 구현하는 프로세스를 진행하는 동안 목표에 따라 여러 가지 결정을 내려야 합니다. 다양한 설명서에 분산되어 있 는 여러 항목에서 설명하는 절차도 따라야 합니다. 이행하는 절차는 배포 환경의 요구 사항에 따라 다릅니다. 특정한 배포 요구 사항에 적합한 여러 절차를 결정한 후에 모든 절차를 설명서에서 찾기는 어려울 수 있습니다. 이 장은 이 프 로세스를 간소화하기 위해 작성되었습니다. 이 장의 각 항목에서는 배포 환경의 요구 사항을 이해하고 처음부터 올바른 결정 을 내리는 데 도움이 되는 정보를 제공합니다. 다음 장인 "일반적인 배포 시나리오와 구현 프레임워크"에는 몇 가지 대표적인 배포 유형(시나리오)에 대한 개별 항목이 수록 되어 있습니다. 이들 항목에는 각 시나리오에 해당하는 전체 배포 프레임워크가 포함되어 있습니다. 각 프레임워크에는 시나 리오를 배포하기 위해 따를 수 있는 개괄적인 여러 단계와 각 단계의 세부 절차가 수록된 항목으로 연결되는 링크가 있습니 다. 다음 작업 9

10 다음 순서를 따르십시오. 1. "배포 유형"을 참조하여 선택해야 하는 사항과 다양한 배포 유형의 특징에 대해 알아봅니다. 2. "배포 유형"에서 배포 유형에 대한 개괄적인 설명을 자세히 읽고 요구 사항에 가장 적합한 유형을 찾습니다. 3. 배포를 진행하려면 구현할 시나리오에 대한 항목으로 이동하여 해당 구현 프레임워크를 따릅니다. 예: "소기업 배포 환경: 단일 검색 헤드와 여러 인덱서" 시나리오 항목에서는 대부분 배포 환경을 완전히 새로 구현한다고 가정합니다. 그러나 기존 배포 환경을 확장하는 경우에도 비슷한 문제가 발생합니다. 각 항목에서는 더 작거나 기타 다른 배포 유형에서 마이그레이션할 때 특별히 주의해야 하는 사항 에 대해 설명합니다. 4. "배포 후 작업"에서 초기 배포를 완료한 후에 수행해야 하는 작업에 대한 지침을 참조합니다. 분산 배포 유형 Splunk Enterprise 배포 환경을 매우 다양한 방법으로 사용자 지정할 수 있습니다. 그러나 대부분의 배포 환경은 몇 가지 기 본 그룹으로 분류됩니다. 이 항목에서는 다양한 배포 유형의 주요 특성과 각 유형에 대해 고려해야 하는 사항에 대해 설명합 니다. 배포 유형을 결정하는 주요 요인 배포 유형과 규모를 결정하는 중요한 요인은 다음과 같습니다. 인덱싱 볼륨. 데이터를 하루에 얼마나 인덱싱할 계획입니까? 점점 많은 인덱싱 부하를 감당하려면 인덱서가 여러 개 필요할 수 있습니다. 검색 수와 유형. 검색(예약된 검색 또는 임시 검색)을 얼마나 자주 실행할 예정입니까? 어떤 유형의 검색을 실행할 예 정입니까? 검색 수가 많거나 많은 처리 작업이 필요한 검색을 자주 실행해야 하는 경우 검색 헤드와 인덱서 리소스에 모두 부담이 갈 수 있습니다. 동시 사용자 수. 얼마나 많은 사용자가 동시에 대시보드를 보거나 검색을 실행할 예정입니까? 증가하는 사용자 수를 감당하려면 일반적으로 검색 헤드 클러스터를 사용하여 검색 헤드를 추가해야 할 수 있습니다. 데이터 충실도 요구 사항. 시스템에서 데이터를 잃지 않도록 보장하려면 인덱서 클러스터가 필수입니다. 가용성 요구 사항. 데이터 가용성이 얼마나 요구됩니까? 모든 데이터에 항상 액세스할 수 있어야 하는 경우 인덱서 클 러스터와 검색 헤드 클러스터를 모두 배포해야 할 수 있습니다. 재해 복구 요구 사항. 빠른 재해 복구가 얼마나 중요합니까? 멀티 사이트 인덱서 클러스터는 장애 발생 시에 지리적 으로 분산된 데이터 센터의 동일한 데이터 세트를 사용하여 빠른 복구를 보장할 수 있습니다. 보안 요구 사항과 데이터 위치 같은 기타 고려 사항도 전체적인 배포 계획에 포함될 수 있습니다. 대표적인 배포 유형 다음은 크기를 기준으로 나눈 주요 배포 유형입니다. 부서: 인덱싱과 검색 관리 기능을 합친 단일 인스턴스 소기업: 검색 헤드 하나와 인덱서 2-3개 중기업: 작은 검색 헤드 클러스터와 인덱서 몇 개 대기업: 큰 검색 헤드 클러스터와 다수의 인덱서 위의 배포 유형은 단일 인스턴스 배포 환경에서 전사에 걸쳐 다수의 이용 사례를 지원하는 배포 환경에 이르는 연속적인 범 위의 특정 지점일 뿐입니다. 또한 모든 규모의 기업 배포 환경에서 인덱서 클러스터를 배포할 수 있습니다. 인덱서 클러스터를 사용하면 고가용성, 재해 복구 및 간단한 확장 등의 이점을 얻을 수 있습니다. 토폴로지를 다양한 방법으로 결합할 수도 있습니다. 예를 들어 인덱서 클러스터와 여러 독립형 인덱서를 모두 검색하는 검색 헤드를 배포할 수 있습니다. 참고: "소기업"과 "중기업" 같은 용어는 Splunk 플랫폼을 사용하는 기업의 규모를 명확하게 구분하는 용어가 아니며, Splunk 플랫폼이 기업에서 지원하는 기능의 범위와 심도를 나타냅니다. Splunk 플랫폼을 계속 성공적으로 사용함에 따라 광 범위한 이용 사례에 대처할 수 있는 플랫폼의 가치에 대한 인식이 높아지면 배포 규모도 일반적으로 점점 커집니다. 예를 들 어 한 Fortune 500 기업은 부서 수준의 단일 인스턴스 Splunk Enterprise 설치를 매우 한정된 용도로 사용하기 시작한 후에 시간이 지나면서 소기업 및 중기업 배포를 거쳐 결국에는 조직에 중요한 가치를 부여하고 전사적으로 분산된 이용 사례를 지 원하는 대기업 배포 환경을 채택하는 전환 과정을 거칠 수 있습니다. 배포 시작 이 항목의 나머지 부분을 읽으면 구현할 배포 유형을 분명히 이해하는 데 도움이 됩니다. 이 항목을 모두 읽은 후에는 필요에 따라 다음 항목 중 하나를 읽으십시오. "부서 배포 환경: 단일 인덱서" 10

11 "소기업 배포 환경: 단일 검색 헤드와 여러 인덱서" "중기업 및 대기업 배포 환경: 검색 헤드 클러스터와 여러 인덱서" "고가용성 배포 환경: 인덱서 클러스터" 위 항목에는 각 배포 유형에 대한 더 자세한 내용이 기본 아키텍처 도면과 함께 수록되어 있습니다. 가장 중요한 사실은 구현 프로세스에 대한 개괄적이고 완전한 가이드와 배포 환경 구현을 위해 따라야 하는 구체적인 절차로 연결되는 링크가 각 항목 에 포함되어 있다는 것입니다. 주요 확장 수준별 배포 환경의 중요한 특징 배포 환경의 특징은 규모가 커짐에 따라 바뀝니다. 아래 테이블에는 대략적인 예상 수치와 요구 사항을 충족하기 위해 배포해 야 하는 Splunk 구성 요소에 대한 정보가 나와 있습니다. 부서 소기업 중기업 대기업 인덱싱 볼륨(1일 기준) 0-20GB GB GB 300GB-1TB+ 포워더 수 평균 10대 미만, 최대 100대 평균 수십 대, 최대 수백 대 평균 수십 대, 최대 수 천 대 평균 수십 대, 최대 수천 대 사용자 수 평균 10명 미만 평균 수십 명 평균 수십 명, 최대 수 백 명 평균 수십 명, 최대 500명 이상 앱 수(미리 패키징된 앱 및 고객 개발 앱의 합계) 인덱싱 단계 인덱서 1대 인덱서 2-3개, 클러 스터 구성 가능 인덱서 4-9개, 클러스 터 구성 가능 인덱서 10개 이상, 클러스터 구성 가능 검색 관리 단계 인덱서와 통합 독립형 검색 헤드 1 개 클러스터로 구성한 검 색 헤드 3개 클러스터로 구성한 검색 헤드 3개 이상 설정 관리 기능 수동 설정 또는 배 포 서버 수동 설정 또는 배 포 서버 포워더 및 인덱서용 배 포 서버 또는 타사 도구. 검색 헤드 클러스터용 주 배포 노드 포워더 및 인덱서용 배포 서버 또는 타사 도구. 검색 헤드 클러 스터용 주 배포 노드 설계 시 고려 사항 배포 환경이 확장되면 설계 시 고려해야 하는 사항도 변합니다. 아래 테이블에는 배포 환경을 설계할 때 고려해야 하는 몇 가 지 사항이 요약되어 있습니다. 부서 소기업 중기업 대기업 포워더 관련 문제 관리, 모니터링 부하 분산, 관리, 모니 터링 부하 분산, 관리, 모니 터링, 중간 포워더 부하 분산, 관리, 모니 터링, 중간 포워더 검색 관련 문제 사용자 수, 경고, 앱 검색 헤드/인덱서 지식 관리, 사용자 수 검색 헤드/인덱서 지식 관리, 사용자 수, 검색 헤드 클러스터링, 작업 서버 검색 헤드/인덱서 지 식 관리, 사용자 수, 검 색 헤드 클러스터링, 작업 서버 예약된 검색 워크로 드 경고, 앱/대시보드에 따라 다름, 요약 검색 경고, 앱/대시보드에 따라 다름, 요약 검색 경고, 앱/대시보드에 따 라 다름, 요약 검색, 작 업 서버 경고, 앱/대시보드에 따라 다름, 요약 검색, 작업 서버, API/SDK 입력 유형 네트워크, 스크립트됨 네트워크, 스크립트됨, 배치, 통합 네트워크, 스크립트됨, 배치, 통합 네트워크, 스크립트 됨, 배치, 통합 가용성 플랫폼에 따라 다름 (RAID, 전원공급장치) 데이터 패브릭(포워더 부하 분산, 저장소, 인 덱스 복제) 사용자 인터페이스(검 색 헤드 클러스터링, 부 하 분산 장치), 데이터 패브릭(포워더 부하 분 산, 저장소, 인덱스 복 제) 사용자 인터페이스(검 색 헤드 클러스터링, 부하 분산 장치), 데이 터 패브릭(포워더 부 하 분산, 저장소, 인덱 스 복제) 복구 기능 백업, 보존 백업, 인덱스 복제, 버 킷/인덱스 복원 백업, 인덱스 복제, 버 킷/인덱스 복원 백업, 인덱스 복제, 버 킷/인덱스 복원 접근성 로컬 및 엔터프라이즈 인증 인증 방식 인증 방식 인증 방식 관리자: 0.5-1명. 검색/ 대시보드/애플리케이 관리자: 0.5-1명. 검색/ 대시보드/애플리케이 11 관리자/설계자: 1-2명. 지식 관리자: 0.5-2명. 검색/대시보드/애플리 관리자: 2-4명 이상. 설계자: 1명 이상. 지 식 관리자: 2-5명 이 상. 검색/대시보드/애

12 인력 구성 대시보드/애플리케이 션 개발/지식 관리자: 명 대시보드/애플리케이 션 개발/지식 관리자: 명 검색/대시보드/애플리 케이션 개발: 1-3명. 프 로그램/프로젝트 관리 자: 1명 상. 검색/대시보드/애 플리케이션 개발: 2-6 명 이상. 프로그램 관 리자: 1명. 프로젝트 관리자: 0.5-2명 배포 규모에 해당되는 교육 기회와 프로페셔널 서비스 상품에 대한 내용은 Splunk 영업 담당자에게 문의하십시오. 추가 참고 자료 배포 환경의 규모와 유형을 결정하는 데 도움이 더 필요한 경우: 하드웨어 용량 계획 및 배포 확장에 대한 자세한 내용은 용량 계획 매뉴얼을 참조하십시오. 고가용성 배포 환경 구현의 장단점에 대한 설명은 인덱서 및 인덱서 클러스터 관리 매뉴얼에서 "인덱서 클러스터 및 인 덱스 복제"를 참조하십시오. 일반적인 배포 시나리오와 구현 프레임워크 부서 배포 환경 : 단일 인덱서 더 큰 조직의 일부인 단일 부서에 필요한 인덱싱 및 검색 작업은 일반적으로 인덱서와 검색 헤드의 역할을 모두 담당하는 Splunk Enterprise 인스턴스 하나로 처리할 수 있습니다. 일반적으로 포워더를 데이터 생성 호스트에 설치하기도 합니다. 포 워더는 호스트로부터 수신한 데이터를 인덱서로 전송합니다. 이 항목에서는 다음을 포함하는 배포 환경을 구현하는 방법에 대해 설명합니다. 통합 인덱서/검색 헤드 1개 여러 포워더 이용 사례 이 배포 유형의 특징은 다음과 같습니다. 하루 20GB 미만의 인덱싱 볼륨 일반적으로 10명 미만의 사용자 인스턴스에 데이터를 전송하는 (일반적으로 10대 미만이고 100대를 초과하는 경우가 드문) 비교적 적은 수의 포워더 부서 배포 환경의 특징에 대한 자세한 내용은 "배포 유형"을 참조하십시오. 아키텍처 다음은 이 배포 유형의 아키텍처를 개괄적으로 표시한 그림입니다. 12

13 이 그림에는 처리 단계가 맨 밑에서부터 나와 있습니다. 데이터 입력. 데이터는 외부 데이터를 소비하고 해당 데이터에 대해 소량의 사전 처리 작업을 수행한 후 데이터를 인 덱서에 전달하는 포워더를 통해 시스템에 유입됩니다. 부서 배포 환경의 포워더 수는 일반적으로 10개 미만이지만, 일 부 이용 사례에서는 포워더가 100개에 이를 수 있습니다. 인덱싱 및 검색(통합 통합). 단일 인덱서에서 포워더로부터 데이터를 수신하여 인덱싱하고 저장합니다. 인덱서는 검색 헤 드의 역할도 병행합니다. 인덱서가 검색 헤드의 역할을 할 때는 사용자의 임시 요청과 저장된 검색 요청 같은 검색 요 청을 처리합니다. 검색 헤드는 사용자에게 대시보드 같은 다양한 도구를 제공하여 검색 경험을 지원합니다. 구현 프레임워크 이 시나리오 유형을 구현하는 방법은 다음과 같습니다. 1. 통합 인덱서/검색 헤드의 역할을 담당할 Splunk Enterprise 인스턴스 하나를 설치합니다. 설치 방법은 설치 매뉴얼에서 "설치 개요"를 참조하십시오. 2. Splunk Enterprise 라이선스를 설정합니다. 관리자 매뉴얼에서 "Splunk Enterprise 라이선싱 방식"을 참조하십시오. 3. 인스턴스의 수신 포트를 설정합니다. 포워더에서 이 포트를 통해 인덱서로 데이터를 전송합니다. 데이터 전달 매뉴얼의 "수신기 활성화"를 참조하십시오. 4. 데이터 원본을 호스트하는 컴퓨터에 유니버설 포워더를 설치하고 Splunk Enterprise 인스턴스로 데이터를 전송하도록 설정합니다. 이 작업을 수행하는 방법은 필요 사항과 기본 설정, 그리고 배포할 포워더 수에 따라 다릅니다. 예: 포워더를 하나씩 설치하거나 여러 컴퓨터에 동시에 설치할 수 있습니다. 포워더를 설치한 후 나중에 설정하거나 포워더를 설치함과 동시에 설정할 수 있습니다. 포워더를 수동으로 설정하거나 배포 서버 또는 타사 소프트웨어를 사용하여 설정할 수 있습니다. 유니버설 포워더 설치 및 설정에 대한 내용은 데이터 전달 매뉴얼에서 "유니버설 포워더 배포 개요"를 참조하십시오. 5. 데이터가 시스템에 입력될 수 있도록 포워더 입력을 설정합니다. 데이터 가져오기 매뉴얼에서 "입력 설정"을 참조하십시 오. 다음 단계 Splunk Enterprise 인스턴스가 가동되면 시스템을 더 세밀하게 조정하고 최종 사용자를 위해 데이터를 준비하고 제시할 수 있습니다. 지금 수행해야 하는 유형의 작업에 대한 개요는 "배포 후 작업"을 참조하십시오. 추가 확장 방법 인덱싱 및 검색 용량을 늘리려면 우선 인덱싱 기능을 검색 관리 기능과 분리해야 합니다. 이렇게 하려면 전용 검색 헤드로 사 용할 Splunk Enterprise 인스턴스를 하나 더 추가하십시오. 전용 검색 헤드를 지정한 후에 인덱서를 더 추가하여 인덱싱 볼 륨을 늘릴 수 있습니다. "소기업 배포 환경: 단일 검색 헤드와 여러 인덱서"를 참조하십시오. 13

14 인스턴스를 더 추가해야 하는 시기와 인덱서만 추가해야 하는지 아니면 인덱서와 검색 헤드를 모두 추가해야 하는지 결정하 는 데 도움이 필요하면 다음을 참조하십시오. 이 매뉴얼의 "배포 유형" 용량 계획 매뉴얼의 "성능 권장 사항 요약" 소기업 배포 환경 : 단일 검색 헤드와 여러 인덱서 인덱싱 및 검색 용량을 일정 수준 이상으로 늘리려면 단일 Splunk Enterprise 인스턴스에서 다중 인스턴스 배포 환경으로 전 환해야 합니다. 검색 관리 기능과 인덱싱 기능을 서로 다른 컴퓨터에서 실행되는 서로 다른 인스턴스에 할당하여 분리합니다. 이 첫 확장 단계에는 일반적으로 인덱서 2-3개와 통신하는 검색 헤드 하나를 배포합니다. 이 배포 유형은 여러 부서 또는 소 기업에서 일반적으로 사용하는 솔루션입니다. 이 항목에서는 다음을 포함하는 배포 환경을 구현하는 방법에 대해 설명합니다. 검색 헤드 1개 여러 인덱서 여러 포워더 참고: 개별 인덱서를 여러 개 배포하지 않고 인덱서 클러스터를 대신 배포할 수 있습니다. 이 토폴로지는 데이터 고가용성을 얻기 위해 저장 공간을 추가해야 하는 부담을 원치 않는 경우에 유용할 수 있습니다. 이 경우에도 저장 공간을 약간 추가해야 하긴 하지만, 인덱서 관리를 단순화할 수 있다는 이점이 있습니다. "고가용성 배포 환경: 인덱서 클러스터"를 참조하십시오. 이용 사례 이 분산 검색 시나리오는 첫 수평 확장 단계에 해당됩니다. 이 시나리오에서 사용자는 여러 인덱서에 걸쳐 검색을 실행할 수 있습니다. 요구 수준이 더 높아지면 인덱서를 더 추가할 수 있습니다. 이 배포 유형의 특징은 다음과 같습니다. 하루 GB의 인덱싱 볼륨 사용자 명 인덱서에 데이터를 공급하는 최대 수백 대의 포워더. 포워더는 일반적으로 부하 분산을 이용하여 데이터를 여러 인덱 서에 분산시킵니다. 소기업 배포 환경의 특징에 대한 자세한 내용은 "배포 유형"을 참조하십시오. 아키텍처 다음은 이 배포 유형의 아키텍처를 개괄적으로 표시한 그림입니다. 14

15 이 그림의 아래부터 시작하여 3개의 처리 단계가 설명되어 있습니다. 데이터 입력. 데이터는 외부 데이터를 소비하고 해당 데이터에 대해 소량의 사전 처리 작업을 수행한 후 데이터를 인 덱서에 전달하는 포워더를 통해 시스템에 유입됩니다. 일반적인 경우 내장된 부하 분산 기능을 사용하여 데이터를 여 러 인덱서로 분산시키도록 포워더를 설정합니다. 인덱싱. 2-3개의 인덱서가 여러 포워더로부터 수신 데이터를 받아서 인덱싱하고 저장합니다. 인덱서는 검색 헤드의 요청에 따라 해당 데이터를 검색하기도 합니다. 검색 관리. 검색 헤드 하나가 검색 관리 기능을 수행합니다. 검색 헤드는 사용자의 임시 요청과 저장된 검색 요청 같은 검색 요청을 처리하고 로컬 데이터에 대해 실제로 검색 작업을 수행하는 여러 인덱서로 요청을 분산시킵니다. 그런 다 음 검색 헤드는 인덱서로부터 얻은 결과를 통합하여 사용자에게 제공합니다. 검색 헤드는 사용자에게 대시보드 같은 다양한 도구를 제공하여 검색 경험을 지원합니다. 마이그레이션 문제 이 항목에서는 배포 환경을 처음부터 새로 구현한다고 가정합니다. 그렇지 않고 기존 단일 인스턴스 배포 환경을 확장하는 경 우에도 프로세스는 유사하지만, 몇 가지 사항에 더 주의해야 합니다. 새로운 배포 환경에서는 기존 단일 인스턴스 배포 환경을 검색 헤드가 아닌 인덱서로 지정하십시오. 이 인스턴스는 인 덱서의 요구 사항에 더 적합하게 프로비저닝되었을 가능성이 큽니다. 새 배포 환경에서도 이 인스턴스에 이미 있는 데 이터를 계속 검색할 수 있습니다. 독립형 인스턴스의 앱과 knowledge object를 새 검색 헤드 인스턴스로 전송하십시오. 추가 인스턴스를 사용할 수 있도록 라이선스를 설정하십시오. 구현 프레임워크 절차에는 이런 주의 사항에 대처하는 단계가 포함되어 있습니다. 구현 프레임워크 이 시나리오 유형을 구현하는 방법은 다음과 같습니다. 1. 인덱서 및 검색 헤드로 사용할 Splunk Enterprise 인스턴스를 설치합니다. 예를 들어 검색 헤드 1개와 인덱서 2개를 배포 하려면 인스턴스를 3개 설치하십시오. 설치 방법은 설치 매뉴얼에서 "설치 개요"를 참조하십시오. 참고: 검색 헤드와 인덱서의 하드웨어 요구 사항은 서로 다릅니다. 인스턴스의 하드웨어 프로비저닝에 대한 내용은 용량 계 획 매뉴얼에서 "참조 하드웨어"를 참고하십시오. 2. (마이그레이션하는 경우에만 해당) 독립형 인스턴스에서 마이그레이션하는 경우 해당 인스턴스를 인덱서 중 하나로 사용 합니다. 새 환경에서도 해당 인스턴스에 이미 있는 데이터를 계속 사용할 수 있습니다. 15

16 3. (마이그레이션하는 경우에만 해당) 독립형 인스턴스에서 마이그레이션하는 경우 기존의 여러 knowledge object와 앱을 새 검색 헤드 인스턴스로 전송합니다. a. 필요한 경우 이전의 독립형 인스턴스를 업데이트하여 새 검색 헤드 인스턴스와 동일한 버전을 실행하도록 합니다. b. 독립형 인스턴스에서 $SPLUNK_HOME/etc/apps 및 $SPLUNK_HOME/etc/users 디렉터리의 내용을 검색 헤드의 동일한 위 치로 복사합니다. c. 검색 헤드를 재시작합니다. 4. 검색 헤드로 선택한 인스턴스에서, 인덱서 인스턴스를 해당 인스턴스의 검색 피어로 설정합니다. 이 단계에서는 각 인스 턴스의 역할(인덱서, 검색 헤드)을 정식으로 지정합니다. 분산 검색 매뉴얼에서 "검색 헤드에 검색 피어 추가"를 참조하십시 오. 5. Splunk Enterprise 라이선스를 설정합니다. 기존 라이선스가 있는 경우 새 인스턴스에도 적용되는지 확인하십시오. 관리 자 매뉴얼에서 "Splunk Enterprise 라이선싱 방식"을 참조하십시오. 6. 각 인덱서에서 수신 포트를 설정합니다. 포워더에서 이 포트를 통해 인덱서로 데이터를 전송합니다. 데이터 전달 매뉴얼 의 "수신기 활성화"를 참조하십시오. 7. 데이터 원본을 호스트하는 컴퓨터에 유니버설 포워더를 설치하고 여러 인덱서로 데이터를 전송하도록 설정합니다. 이 작 업을 수행하는 방법은 필요 사항과 기본 설정, 그리고 배포할 포워더 수에 따라 다릅니다. 예: 포워더를 하나씩 설치하거나 여러 컴퓨터에 동시에 설치할 수 있습니다. 포워더를 설치한 후 나중에 설정하거나 포워더를 설치함과 동시에 설정할 수 있습니다. 포워더를 수동으로 설정하거나 배포 서버 또는 타사 소프트웨어를 사용하여 설정할 수 있습니다. 유니버설 포워더 설치 및 설정에 대한 내용은 데이터 전달 매뉴얼에서 "유니버설 포워더 배포 개요"를 참조하십시오. 데이터를 인덱서 하나로만 보내지 않고 데이터 부하를 여러 인덱서로 분산시키도록 포워더를 설정하는 것이 좋습니다. 데이 터 전달 매뉴얼에서 "부하 분산 설정"을 참조하십시오. (마이그레이션하는 경우에만 해당) 이전 배포 환경에 이미 포워더가 몇 개 있었을 경우 부하를 모든 인덱서로 분산시키도록 포워더를 다시 설정하십시오. 8. 데이터가 시스템에 입력될 수 있도록 포워더 입력을 설정합니다. 데이터 가져오기 매뉴얼에서 "입력 설정"을 참조하십시 오. 다음 단계 Splunk Enterprise 인스턴스가 가동되고 서로 통신하기 시작하면 시스템을 더 세밀하게 조정하고 최종 사용자를 위해 데이 터를 준비하고 제시할 수 있습니다. 지금 수행해야 하는 유형의 작업에 대한 개요는 "배포 후 작업"을 참조하십시오. 추가 확장 방법 인덱싱 및 검색 용량을 늘리려면 우선 인덱서를 더 추가해야 합니다. 이렇게 하려면 Splunk Enterprise 인스턴스를 하나 더 설치하고 이 인스턴스를 검색 피어로 취급하도록 검색 헤드를 설정하십시오. 더 많은 사용자를 지원하고 검색 용량을 일정 수준 이상으로 늘리려면 결국 검색 헤드를 더 많이 추가해야 합니다. 여러 검색 헤드를 배포하려면 일반적으로 검색 헤드 클러스터를 배포하는 방법이 가장 좋습니다. "중기업 및 대기업 배포 환경: 검색 헤 드 클러스터와 여러 인덱서"를 참조하십시오. 인스턴스를 더 추가해야 하는 시기와 인덱서만 추가해야 하는지 아니면 인덱서와 검색 헤드를 모두 추가해야 하는지 결정하 는 데 필요한 자세한 내용은 다음을 참조하십시오. 이 매뉴얼의 "배포 유형" 용량 계획 매뉴얼의 "성능 권장 사항 요약" 중기업 및 대기업 배포 환경 : 검색 헤드 클러스터와 여러 인덱서 소기업 배포 환경에서 중기업 배포 환경으로 전환할 때는 인덱싱 볼륨과 검색 용량을 모두 늘려야 합니다. 인덱서를 계속 추 가하여 인덱싱 볼륨을 늘릴 수 있습니다. 검색 헤드를 추가하여 검색 용량을 늘리면 더 많은 사용자와 검색 작업을 지원할 수 있습니다. 여러 검색 헤드를 배포하려면 검색 헤드를 검색 헤드 클러스터로 합치는 방법이 권장됩니다. 검색 헤드 클러스터를 구성하 면 사용자와 검색이 여러 검색 헤드의 리소스를 공유할 수 있습니다. 또한 여러 개별 검색 헤드보다 관리하기도 더 쉽습니다. 검색 헤드 클러스터에는 검색 헤드가 3개 이상 필요합니다. 중기업 배포 환경과 대기업 배포 환경의 차이점은 주로 규모 및 관리와 관련이 있습니다. 기본적인 배포 토폴로지는 유사합니 다. 두 구성에는 모두 검색 헤드 클러스터와 여러 인덱서가 사용됩니다. 이 항목에서는 다음을 포함하는 배포 환경을 구현하는 방법에 대해 설명합니다. 여러 검색 헤드로 구성된 검색 헤드 클러스터 1개 여러 인덱서 16

17 여러 포워더 참고: 개별 인덱서를 여러 개 배포하지 않고 인덱서 클러스터를 대신 배포할 수 있습니다. 이 토폴로지는 데이터 고가용성을 얻기 위해 저장 공간을 추가해야 하는 부담을 원치 않는 경우에 유용할 수 있습니다. 이 경우에도 저장 공간을 약간 추가해야 하긴 하지만, 인덱서 관리를 단순화할 수 있다는 이점이 있습니다. "고가용성 배포 환경: 인덱서 클러스터"를 참조하십시오. 중기업 배포 환경 이용 사례 중기업 배포 환경은 소기업 배포 환경보다 더 큰 수평 확장이 가능합니다. 그리고 더 많은 수의 사용자와 검색을 지원합니다. 요구 수준이 계속 높아지면 인덱서와 검색 헤드를 계속 추가할 수 있습니다. 이 배포 유형의 특징은 다음과 같습니다. 하루 GB의 인덱싱 볼륨 100명 이상으로 추정되는 사용자 수 부하 분산 데이터를 인덱서에 공급하는 최대 수천 대의 포워더 중기업 배포 환경의 특징에 대한 자세한 내용은 "배포 유형"을 참조하십시오. 대기업 배포 환경 이용 사례 대기업 배포 환경은 더 큰 수평 확장이 가능합니다. 이 배포 유형의 특징은 다음과 같습니다. 하루 300GB에서 수 TB에 달하는 인덱싱 볼륨 몇백 명 이상인 다수의 사용자 포워더 수천 대 대기업 배포 환경의 특징에 대한 자세한 내용은 "배포 유형"을 참조하십시오. 아키텍처 다음은 중기업 또는 대기업 배포 환경의 아키텍처를 개괄적으로 표시한 그림입니다. 이 그림의 아래부터 시작하여 3개의 처리 단계가 설명되어 있습니다. 데이터 입력. 데이터는 외부 데이터를 소비하고 데이터를 인덱서에 전달하는 포워더를 통해 시스템에 유입됩니다. 내 17

18 장된 부하 분산 기능을 사용하여 데이터를 여러 인덱서로 분산시키도록 포워더를 설정합니다. 인덱싱. 인덱서에서는 포워더로부터 수신 데이터를 받아서 인덱싱하고 저장합니다. 검색 관리. 3개 이상의 검색 헤드 구성원으로 구성되는 검색 헤드 클러스터에서는 검색 관리 기능을 수행합니다. 클러 스터를 구성하는 검색 헤드는 작업을 서로 조정하여 사용자의 임시 요청과 저장된 검색 요청 같은 검색 요청을 처리하 고 요청을 여러 인덱서로 분산시킵니다. 주 배포 노드에서는 검색 헤드 클러스터의 구성원에 앱을 배포합니다. 마이그레이션 문제 이 항목에서는 검색 헤드 클러스터 배포 환경을 처음부터 새로 구현한다고 가정합니다. 대신 클러스터되지 않은 배포 환경을 확장하는 경우에도 프로세스는 유사하지만, 몇 가지 사항에 더 주의해야 합니다. 클러스터의 각 검색 헤드에 새로운 Splunk Enterprise 인스턴스를 사용해야 합니다. 기존 검색 헤드의 설정과 앱을 검 색 헤드 클러스터로 마이그레이션할 수 있지만, 검색 헤드 자체를 재사용할 수는 없습니다. 분산 검색 매뉴얼에서 "독 립형 검색 헤드에서 검색 헤드 클러스터로 마이그레이션"을 참조하십시오. 추가 인스턴스를 사용할 수 있도록 라이선스를 설정해야 합니다. 이런 주의 사항에 대해서는 구현 프레임워크 절차에서 설명합니다. 구현 프레임워크 검색 헤드 클러스터를 인덱서 및 포워더와 함께 구현하는 방법은 다음과 같습니다. 1. 검색 헤드 클러스터를 설치하고 배포합니다. 분산 검색 매뉴얼에서 "검색 헤드 클러스터 배포"를 참조하십시오. 2. (마이그레이션하는 경우에만 해당) 독립형 검색 헤드로 구성된 소규모 배포 환경에서 마이그레이션하는 경우, 이전 검색 헤드의 설정을 마이그레이션할 수 있습니다. 분산 검색 매뉴얼에서 "독립형 검색 헤드에서 검색 헤드 클러스터로 마이그레이 션"을 참조하십시오. 3. 인덱서로 사용할 인스턴스를 설치합니다. 설치 방법은 설치 매뉴얼에서 "설치 개요"를 참조하십시오. (마이그레이션하는 경우에만 해당) 더 작은 배포 환경에서 마이그레이션하는 경우 기존 인덱서를 계속 사용할 수 있습니다. 필요에 따라 새 인덱서 인스턴스를 추가할 수도 있습니다. 4. 검색 헤드를 검색 피어라고도 하는 인덱서에 연결합니다. 분산 검색 매뉴얼에서 "클러스터의 검색 헤드를 검색 피어에 연 결"을 참조하십시오. 5. Splunk Enterprise 라이선스를 설정합니다. 기존 라이선스가 있는 경우 새 인스턴스에도 적용되는지 확인해야 합니다. 관 리자 매뉴얼에서 "Splunk Enterprise 라이선싱 방식"을 참조하십시오. 6. 각각의 새로운 인덱서에서 수신 포트를 설정합니다. 포워더에서 이 포트를 통해 인덱서로 데이터를 전송합니다. 데이터 전달 매뉴얼의 "수신기 활성화"를 참조하십시오. 7. 데이터 원본을 호스트하는 컴퓨터에 유니버설 포워더를 설치하고 여러 인덱서로 데이터를 전송하도록 설정합니다. 유니 버설 포워더 설치 및 설정에 대한 내용은 데이터 전달 매뉴얼에서 "유니버설 포워더 배포 개요"를 참조하십시오. 데이터 부하를 여러 인덱서로 분산시키도록 포워더를 설정하는 것이 좋습니다. 데이터 전달 매뉴얼에서 "부하 분산 설정"을 참조하십시오. (마이그레이션하는 경우에만 해당) 이전 배포 환경의 포워더가 이미 있고 3단계에 인덱서를 추가한 경우, 새 인덱서를 포함 한 모든 인덱서로 부하를 분산시키도록 기존 포워더를 다시 설정하십시오. 8. 데이터가 시스템에 입력될 수 있도록 포워더 입력을 설정합니다. 데이터 가져오기 매뉴얼에서 "입력 설정"을 참조하십시 오. 다음 단계 Splunk Enterprise 인스턴스가 가동되고 서로 통신하기 시작하면 시스템을 더 세밀하게 조정하고 최종 사용자를 위해 데이 터를 준비하고 제시할 수 있습니다. 지금 수행해야 하는 유형의 작업에 대한 개요는 "배포 후 작업"을 참조하십시오. 추가 확장 방법 필요에 따라 배포 환경을 계속 확장할 수 있습니다. 인덱싱 및 검색 용량을 늘리려면 우선 인덱서를 더 추가해야 합니다. 이렇 게 하려면 Splunk Enterprise 인스턴스를 하나 더 설치하고 검색 헤드와 포워더가 이 인스턴스와 연결되도록 설정하십시오. 더 많은 사용자를 지원하고 검색 용량을 일정 수준 이상으로 계속 늘리려면 검색 헤드를 클러스터에 하나 더 추가해야 합니 다. 분산 검색 매뉴얼에서 "클러스터 구성원 추가"를 참조하십시오. 인스턴스를 더 추가해야 하는 시기와 인덱서만 추가해야 하는지 아니면 인덱서와 검색 헤드를 모두 추가해야 하는지 결정하 는 데 필요한 자세한 내용은 다음을 참조하십시오. 이 매뉴얼의 "배포 유형" 용량 계획 매뉴얼의 "성능 권장 사항 요약" 18

19 고가용성 배포 환경 : 인덱서 클러스터 데이터 고가용성을 보장하기 위해 인덱서 클러스터를 배포할 수 있습니다. 인덱서 클러스터는 시스템이 모든 데이터의 여러 복사본을 유지하도록 하기 위해 서로의 데이터를 복제하도록 설정한 인덱서 그룹입니다. 이 프로세스를 인덱스 복제라고 합 니다. 인덱서 클러스터는 데이터 손실을 방지하면서 검색할 데이터의 가용성을 높입니다. 인덱서 클러스터는 여러 개별 인덱 서보다 쉽게 관리할 수 있습니다. 인덱서 클러스터의 단점은 복제된 사본을 처리하기 위해 저장소가 더 필요하다는 것입니다. 인덱스 복제 수준을 조절하고 필 요한 저장소를 관리하여 기업에서 요구하는 가용성을 맞출 수 있습니다. 인덱서 클러스터링에 대한 소개와 인덱서 클러스터링의 장단점에 대한 자세한 내용은 인덱서 및 인덱서 클러스터 관리 매뉴 얼에서 "인덱서 클러스터 및 인덱스 복제"를 참조하십시오. 인덱서 클러스터링은 기업 배포 환경의 규모에 관계없이 사용할 수 있습니다. 필요한 검색이 많아지면 인덱서 클러스터를 검색 헤드 클러스터와 함께 사용할 수 있습니다. 이 항목에서는 다음을 포함하는 배포 환경을 구현하는 방법에 대해 설명합니다. 하나 이상의 개별 검색 헤드 또는 검색 헤드 클러스터 인덱서 클러스터 1개 여러 포워더 고가용성 이용 사례 인덱서 클러스터는 데이터 고가용성을 요구하고 여러 데이터 사본을 저장하는 데 필요한 추가 디스크 공간을 할당하려는 기 업의 배포 환경에 주로 사용됩니다. 관리 단순화 이용 사례 인덱서 클러스터를 복제 기능 없이 구현할 수도 있습니다. 복제 기능을 사용하지 않으면 데이터 가용성과 데이터 복구 같은 인덱서 클러스터의 중요한 이점을 몇 가지 잃을 수 있지만, 여러 인덱서의 관리를 단순화하는 이점은 계속 누릴 수 있습니다. 인덱서 및 인덱서 클러스터 관리 매뉴얼의 "인덱서 클러스터를 사용하여 인덱싱 확장"을 참조하십시오. 아키텍처 인덱서 클러스터 아키텍처의 주요 유형은 다음과 같습니다. 인덱서 클러스터와 하나 이상의 개별 검색 헤드 인덱서 클러스터와 검색 헤드 클러스터 인덱서 클러스터와 개별 검색 헤드 다음 그림에서는 인덱서 클러스터와 하나 이상의 개별 검색 헤드로 구성된 아키텍처를 개괄적으로 볼 수 있습니다. 19

20 이 그림의 아래부터 시작하여 3개의 처리 단계가 설명되어 있습니다. 데이터 입력. 데이터는 외부 데이터를 소비하고 데이터를 인덱서에 전달하는 포워더를 통해 시스템에 유입됩니다. 내 장된 부하 분산 기능을 사용하여 데이터를 여러 인덱서로 분산시키도록 포워더를 설정합니다. 인덱싱. 클러스터 피어 노드라고도 하는 인덱서는 포워더로부터 수신 데이터를 받아서 인덱싱하고 저장합니다. 검색 관리. 하나 이상의 개별 검색 헤드에서 검색 관리 기능을 수행합니다. 마스터 노드에서는 클러스터 노드의 기능을 조절하지만 데이터를 인덱싱하거나 저장하거나 검색하지 않습니다. 인덱서 클러스터와 검색 헤드 클러스터 인덱서 클러스터와 검색 헤드 클러스터를 결합할 수 있습니다. 여러 검색 헤드를 배포해야 하는 경우 다음 방법이 권장됩니 다. 20

21 이전 아키텍처와 가장 큰 차이점은 개별 검색 헤드 대신 검색 헤드 클러스터가 사용된다는 것입니다. 인덱서 클러스터가 검색 헤드 클러스터와 상호 작용하는 방법은 개별 검색 헤드와 상호 작용하는 방법과 근본적으로 동일합니다. 마이그레이션 문제 이 항목에서는 인덱서 클러스터 배포 환경을 완전히 새로 구현한다고 가정합니다. 대신 클러스터되지 않은 여러 인덱서를 확 장하는 경우 기존 인덱서를 클러스터에 포함시킬 수 있지만, 몇 가지 사항에 주의해야 합니다. 개별 인덱서에 이미 있는 데이터는 검색에 계속 사용할 수 있지만, 복제되지 않습니다. 더 이상 배포 서버를 사용하여 앱을 관리할 수 없습니다. 인덱서 클러스터에 내장된 설정 번들 방법을 대신 사용해야 합니다. 이렇게 하려면 앱을 클러스터로 마이그레이션해야 합니다. 이런 문제를 비롯한 여러 주의 사항에 대한 자세한 내용은 다음을 참조하십시오. 인덱서 및 인덱서 클러스터 관리 매뉴얼의 "인덱서의 클러스터된 배포와 클러스터되지 않은 배포의 주요 차이점" 인덱서 및 인덱서 클러스터 관리 매뉴얼의 "클러스터되지 않은 인덱서를 클러스터된 환경으로 마이그레이션" 구현 프레임워크 절차에서는 마이그레이션 문제에 대해 간단히 설명합니다. 구현 프레임워크 인덱서 클러스터를 구현하는 방법은 다음과 같습니다. 1. 필요한 Splunk Enterprise 인스턴스를 설치하고 인덱서 클러스터를 배포합니다. 인덱서 및 인덱서 클러스터 관리 매뉴얼 에서 "인덱서 클러스터 배포 개요"를 참조하십시오. 2. (마이그레이션하는 경우에만 해당) 하나 이상의 독립형 인덱서로 구성된 배포 환경에서 마이그레이션하는 경우, 인덱서 및 인덱서 클러스터 관리 매뉴얼에서 "클러스터되지 않은 인덱서를 클러스터된 환경으로 마이그레이션"도 참조하십시오. 3. 검색 단계에 사용할 검색 헤드 클러스터를 구현하려면 분산 검색 매뉴얼에서 "검색 헤드 클러스터 배포"와 "검색 헤드 클 러스터와 인덱서 클러스터 통합" 항목을 참조하십시오. 4. Splunk Enterprise 라이선스를 설정합니다. 기존 라이선스가 있는 경우 새 인스턴스에도 적용되는지 확인해야 합니다. 관 리자 매뉴얼에서 "Splunk Enterprise 라이선싱 방식"을 참조하십시오. 인덱서와 인덱서 클러스터 관리 매뉴얼의 "인덱서 클 러스터에 대한 시스템 요구 사항 및 기타 배포 고려 사항"에서 라이선싱 정보에 대한 내용도 참조하십시오. 5. 데이터 원본을 호스트하는 컴퓨터에 유니버설 포워더를 아직 설치하지 않은 경우 지금 설치합니다. 데이터 전달 매뉴얼 의 "유니버설 포워더 배포 개요"를 참조하십시오. 6. 피어 노드를 포워더에 연결합니다. 21

22 a. 사용할 방법을 지정합니다. 인덱서 및 인덱서 클러스터 관리 매뉴얼에서 "포워더를 사용하여 데이터를 인덱서 클러 스터로 가져오기"를 참조하십시오. b. 지정한 방법에 따라 인덱서 및 인덱서 클러스터 관리 매뉴얼에서 "인덱서 검색을 사용하여 포워더와 피어 노드 연 결" 또는 "포워더를 피어 노드에 직접 연결"을 참조하십시오. 7. 데이터가 시스템에 입력될 수 있도록 포워더 입력을 설정합니다. 데이터 가져오기 매뉴얼에서 "입력 설정"을 참조하십시 오. 다음 단계 Splunk Enterprise 인스턴스가 가동되고 서로 통신하기 시작하면 시스템을 더 세밀하게 조정하고 최종 사용자를 위해 데이 터를 준비하고 제시할 수 있습니다. 지금 수행해야 하는 유형의 작업에 대한 개요는 "배포 후 작업"을 참조하십시오. 추가 확장 방법 클러스터를 필요에 따라 확장할 수 있습니다. 인덱싱 및 검색 용량을 늘리려면 우선 인덱서를 하나 더 추가해야 합니다. 이렇 게 하려면 새 Splunk Enterprise 인스턴스를 피어 노드로 활성화하십시오. 더 많은 사용자를 지원하고 검색 용량을 일정 수준 이상으로 계속 늘리려면 검색 헤드를 더 많이 추가해야 합니다. 검색 헤드 를 검색 헤드 클러스터에 배포하여 여러 검색 헤드를 인덱서 클러스터에 포함시키는 방법이 권장됩니다. 분산 검색 매뉴얼에 서 "독립형 검색 헤드에서 검색 헤드 클러스터로 마이그레이션"을 참조하십시오. 기존 검색 헤드 클러스터에 검색 헤드를 더 많이 추가하려면 분산 검색 매뉴얼에서 "클러스터 구성원 추가"를 참조하십시오. 인스턴스를 더 추가해야 하는 시기와 인덱서만 추가해야 하는지 아니면 인덱서와 검색 헤드를 모두 추가해야 하는지 결정하 는 데 필요한 자세한 내용은 다음을 참조하십시오. 이 매뉴얼의 "배포 유형" 용량 계획 매뉴얼의 "성능 권장 사항 요약" 기업이 여러 사이트에 분산되어 있는 경우 싱글 사이트 클러스터 대신 멀티 사이트 인덱서 클러스터를 구현할 수 있습니다. 인덱서 및 인덱서 클러스터 관리 매뉴얼에서 "멀티 사이트 인덱서 클러스터 배포 개요"를 참조하십시오. 이미 싱글 사이트 클 러스터가 있는 경우에 이 클러스터를 멀티 사이트 클러스터로 전환하려면 인덱서 및 인덱서 클러스터 관리 매뉴얼에서 "싱글 사이트에서 멀티 사이트로 인덱서 클러스터 마이그레이션"을 참조하십시오. 배포 환경 관리 배포 후 작업 배포 환경 구현은 Splunk Enterprise의 이점을 모두 활용하기 위해 수행해야 하는 여러 관리와 관련된 작업의 첫 단계입니 다. 이 항목에서는 일반적인 배포 후 작업에 대한 개괄적인 개요와 해당 내용을 자세히 다루는 항목으로 연결되는 링크를 제 공합니다. "분산 배포에 대한 주요 매뉴얼"에는 배포와 직접 관련된 매뉴얼이 나열되어 있습니다. 배포 프로세스 도중에 이러한 매뉴얼 의 일부를 이미 살펴보았습니다. 이런 매뉴얼에는 배포 후 설정 및 관리에 관한 주의 사항도 수록되어 있습니다. 각 매뉴얼은 시스템을 세부 조정할 때 참고 자료로 계속 사용할 수 있으며, 각 매뉴얼의 내용을 숙지하셔야 합니다. 그 밖에 시스템을 개선 및 확장하고 최종 사용자들이 필요로 하는 지식을 제공하기 위해 시스템을 설정하는 방법에 대해 설명하는 매뉴얼도 있습니 다. 다음 작업 초기 배포 작업을 완료한 후에 다음과 같은 작업도 수행해야 합니다. 사용자 및 역할 설정. Splunk Enterprise 보안 매뉴얼에서 "사용자 및 역할 기반 액세스 제어" 장을 참조하십시오. Splunk Enterprise 보안에 대해 읽어보기. Splunk Enterprise 보안 매뉴얼을 자세히 살펴보십시오. 검색 헤드의 내부 데이터를 검색 피어에 전달. 분산 검색 매뉴얼에서 "베스트 프랙티스: 검색 헤드 데이터를 인덱서 계층으로 전달"을 참조하십시오. 배포 환경의 가치 증대 배포 환경을 완성하고 보안 같은 기본 사항을 처리한 후에는 데이터에 집중할 수 있습니다. 여기에는 수집할 데이터, 데이터 를 수집할 방법, 사용자가 데이터를 효과적으로 사용할 수 있도록 제시하는 방법이 포함됩니다. Splunk Enterprise는 거의 모든 유형의 데이터를 처리할 수 있습니다. 다양한 데이터 유형과 각 데이터 유형을 설정하는 방 법에 대해 알아야 할 내용이 많이 있으며, 여기에는 source type 지정 및 이벤트 처리 같은 중요한 사항이 포함됩니다. 데이 터 입력에 관한 모든 사항에 대한 자세한 내용은 데이터 가져오기를 참조하십시오. source type 지정에 대한 자료를 "source type이 중요한 이유"부터 반드시 살펴보십시오. 그런 다음 사용자를 위해 데이터의 가치와 접근성을 높이는 검색, 보고서, 대시보드 등을 개발해야 합니다. 이러한 개체를 총 칭하여 knowledge object라고 합니다. 이에 관한 일차적인 참고 자료는 지식 관리자 매뉴얼입니다. Splunk에서는 이런 작업의 대부분을 대신 수행하는 다양한 사전 제작된 앱을 제공합니다. 이런 앱은 데이터 입력, source 22

23 type, knowledge object 및 기타 설정을 정의합니다. 그리고 여러 일반적이거나 일반적이지 않은 요구 사항에 대응하는 기 성 솔루션을 여러분과 여러분의 사용자에게 제공합니다. 예를 들어 IT 운영 관리를 위해 시스템 및 기타 앱의 보안을 모니터 링하는 앱이 있습니다. 사전 제작된 앱에 대해 자세히 알아보거나 앱을 다운로드하려면 Splunkbase를 참조하십시오. 앱을 직접 만들 수도 있습니다. 앱 개발에 대한 설명은 dev.splunk.com을 참조하십시오. 배포 환경 관리 리소스 관리자 매뉴얼에서는 기타 중요한 작업에 대해 설명합니다. 특히 "Splunk 관리: 전체 개요"를 참조하십시오. 이 항목에는 주 요 관리 작업에 대해 설명하는 다양한 매뉴얼의 항목으로 연결되는 링크가 있습니다. 분산 관리 콘솔에는 배포 환경의 여러 측면을 모니터링하는 데 사용할 수 있는 다양한 대시보드가 있습니다. 이 매뉴얼에서 "분산 배포 모니터링"을 참조하십시오. 또한 분산 관리 콘솔 매뉴얼도 참조하십시오. 내부 로그 파일과 기타 배포 환경 문제 해결 도구에 대한 내용은 문제 해결 매뉴얼을 참조하십시오. 앱 및 기타 설정을 여러 인스턴스에 배포 Splunk Enterprise는 앱과 여러 설정을 여러 Splunk Enterprise 인스턴스에 배포하는 배포 서버를 제공합니다. 이 도구는 특히 포워더에서 설정을 관리하는 데 유용하지만, 인덱서와 검색 헤드를 포함한 모든 Splunk Enterprise 인스턴스에 업데이 트를 배포할 수 있습니다. Splunk Enterprise 인스턴스 업데이트를 참조하십시오. 클러스터의 노드를 업데이트하려면 배포 서버를 사용하지 마십시오. 클러스터에서는 자체 도구를 대신 사용합니다. 인덱서 클러스터에서는 클러스터 마스터가 업데이트를 피어 노드에 배포합니다. 인덱서 및 인덱서 클러스터 관리 매뉴 얼에서 "공통 피어 설정 및 앱 업데이트"를 참조하십시오. 검색 헤드 클러스터에서는 주 배포 노드가 업데이트를 클러스터 구성원에 배포합니다. 분산 검색 매뉴얼의 "주 배포 노 드를 사용하여 앱 및 설정 업데이트 배포"를 참조하십시오. 타사 도구를 사용하여 업데이트를 배포할 수도 있습니다. 기타 Splunk 제품 Splunk Enterprise는 전체 Splunk 제품 중 하나일 뿐입니다. 그 외에 다음과 같은 제품이 있습니다. Splunk Enterprise 기능의 클라우드 기반 액세스를 위해 사용하는 Splunk Cloud Hadoop, NoSQL 및 기타 데이터 저장소에 저장된 데이터를 탐색, 분석 및 시각화하는 Hunk Splunk Enterprise의 기능을 확장하는 다양한 앱 및 추가 기능 자세한 내용은 Splunk 설명서 포털과 Splunk 제품 개요를 참조하십시오. 분산 배포 모니터링 분산 관리 콘솔을 사용하여 배포 환경의 요소를 대부분 모니터링할 수 있습니다. 이 항목에서는 전체 배포 환경의 개요를 제 시하는 콘솔 대시보드에 대해 설명합니다. 분산 관리 콘솔에 대한 주요 설명서는 분산 관리 콘솔 매뉴얼입니다. 배포 전역 대시보드 분산 관리 콘솔에는 전체 배포 환경의 개요를 제시하는 대시보드와 인덱싱 또는 검색 헤드 클러스터링 같은 배포 환경의 구 체적인 특징에 초점을 맞춰 배포 환경을 심층적으로 분석하는 몇 가지 대시보드가 포함되어 있습니다. 이 항목에서는 개요 대 시보드에 대해 설명합니다. 구체적인 기능에 대해 설명하는 매뉴얼에서는 해당 기능과 관련된 대시보드에 대해 다룹니다. 예를 들어 분산 관리 콘솔에는 검색 헤드 클러스터와 관련된 대시보드만 5개가 있으며, 각 대시보드는 아티팩트 복제, 설정 복제 및 앱 배포 등의 작업에 대한 정보를 표시합니다. 이런 대시보드에 대해서는 분산 검색 매뉴얼의 검색 헤드 클러스터링 에 대한 설명서에서 설명합니다. 인덱서 클러스터 또는 인덱싱 성능과 관련된 대시보드에 대해서는 인덱서와 인덱서 클러스 터 관리 매뉴얼에서 설명합니다. 배포 전역 뷰를 제공하는 세 가지 유형의 대시보드 또는 페이지는 다음과 같습니다. 개요 인스턴스 리소스 사용량 개요 대시보드 배포 환경의 개요를 제시하는 대시보드는 개요 메뉴 아래에 있습니다. 이런 대시보드는 콘솔을 처음 시작할 때도 표시됩니 다. 두 가지 개요 대시보드가 있습니다. 개요 토폴로지 개요 또는 토폴로지 단추를 클릭하여 대시보드를 전환할 수 있습니다. 23

24 개요 대시보드는 인덱서, 검색 헤드, 클러스터 마스터 및 라이선스 마스터의 수를 표시합니다. 이 대시보드에는 사용량 및 경 고에 대한 정보도 포함됩니다. 토폴로지 대시보드는 각 구성 요소 유형에 사용되는 인스턴스와, 인덱서와 검색 헤드의 연결 관계를 표시합니다. 인덱서의 인 덱싱 속도와 인스턴스 작동 여부 등 각 인스턴스에 대한 몇 가지 개괄적인 정보도 제공합니다. 인스턴스 페이지 인스턴스 대시보드에는 배포 환경의 모든 Splunk Enterprise 인스턴스가 나열됩니다. 이 대시보드는 각 인스턴스의 기본 특 성 및 상태에 대한 정보도 제공합니다. 인스턴스 메뉴를 통해 이 대시보드에 액세스할 수 있습니다. 리소스 사용량 대시보드 사용자가 리소스 사용량 메뉴를 통해 액세스할 수 있는 몇 가지 리소스 사용량 대시보드가 있습니다. 리소스 사용량: 배포 대 시보드는 CPU 사용량, 물리적 메모리 사용량 및 디스크 사용량 같은 배포 전역 리소스 정보를 제공합니다. 나머지 대시보드 는 사용량 정보를 인스턴스 또는 컴퓨터별로 제공합니다. 분산 관리 콘솔 매뉴얼에서 "리소스 사용량: 배포"를 참조하십시오. 24