2-1では、Splunkの基本サーバーとして Search Head・Indexer・Forwarderの3つを紹介しました。この節ではそれらをあらためて整理したうえで、 Forwarderの種類や、Splunk環境そのものを管理・運用するためのサーバー群まで踏み込んで解説します。 規模の大きな環境ほど、役割ごとにサーバーが分かれていきます。
1. 基本サーバー(SH／IDX／Forwarder)
まずは、データの取り込みから検索までの流れを直接担う3つの基本サーバーです。 それぞれが分担して動くことで、大量のデータを効率よく扱えるようになっています。
| サーバー | 主な役割 |
|---|---|
| Search Head(SH) | ユーザーの検索を受け付け、各Indexerへ検索を分散し、結果を集約して画面に表示する |
| Indexer(IDX) | 取り込んだデータをインデックスに保管し、検索を実際に実行する |
| Forwarder | データ発生元のサーバーに導入し、ログを収集してIndexerへ転送する |
2. Forwarderの種類
Forwarderには、大きく分けて2つの種類があります。 用途や必要な処理に応じて使い分けます。
Universal Forwarder(UF)
Universal Forwarderは、データ転送専用の 軽量なエージェントです。データ発生元のサーバーに常駐し、ログを収集してIndexerへ送ることに特化しています。 動作が軽く、監視対象のサーバーへの負荷が小さいため、多数のサーバーからログを集める用途で 広く使われます。
Heavy Forwarder(HF)
Heavy Forwarderは、転送だけでなくデータのパース(解析・加工)まで行えるForwarderです。転送前にデータをイベントに区切ったり、 不要なデータを除外・振り分けたりといった処理ができます。 その分だけ動作は重くなるため、こうした前処理が必要な場面で使われます。
迷ったらまず軽量なUniversal Forwarder、 転送前にデータを加工・振り分けしたい場合にHeavy Forwarder、と覚えておくと 整理しやすいでしょう。
3. Splunkを管理するためのサーバー
環境の規模が大きくなると、基本サーバーに加えて、Splunk環境そのものを 管理・運用するためのサーバーが登場します。いずれもSplunkの運用を 支える役割を持ちます。代表的なものを整理します。
| サーバー | 役割 |
|---|---|
| Monitoring Console(MC) | Splunk環境全体の稼働状況やパフォーマンスを監視する |
| Cluster Manager(CM) | Indexerクラスタを管理し、データの複製や整合性を統括する |
| License Manager(LM) | ライセンス(取り込み量など)を一元的に管理する |
| Deployer | Search Headクラスタへ、設定やAppを配布する |
| Deployment Server | 多数のForwarderなどへ、設定やAppを一括配布する |
| Agent Management | Forwarderなどのエージェントを管理・制御する |
これらの管理系サーバーは、小規模な環境では1台のサーバーに役割を兼務させることもあります。 「どんな役割が必要になるか」を知っておくことが、構成を理解する第一歩です。 具体的な構成パターンは2-7 一般的なSplunkの導入構成で扱います。
4. まとめ
- 基本サーバーはSearch Head(検索)・Indexer(保管と検索実行)・Forwarder(収集と転送)
- Universal Forwarderは軽量な転送専用、Heavy Forwarderはパース(加工)まで行える
- 管理系サーバーにはMC・CM・LM・Deployer・Deployment Server・Agent Managementなどがある
- 規模に応じて役割ごとにサーバーが分かれ、小規模なら兼務させることもある