Splunk 架构与 Citrix Analytics 附加应用程序

September 16, 2025

投稿者:

C C

Splunk 遵循包含以下三个层的架构：

收集
索引
搜索

Splunk 支持广泛的数据收集机制，有助于轻松将数据引入 Splunk，以便对其进行索引并使其可用于搜索。此层即为您的重型转发器或通用转发器。

您必须将附加应用程序安装在重型转发器层，而不是通用转发器层。因为，除了少数结构化数据（例如 json、csv、tsv）例外情况外，通用转发器不会将日志源解析为事件，因此它无法执行任何需要理解日志格式的操作。

它还附带一个精简版 Python，这使其与任何需要完整 Splunk 堆栈才能运行的模块化输入应用程序不兼容。重型转发器即为您的收集层。

通用转发器和重型转发器之间的主要区别在于，重型转发器包含完整的解析管道，执行与索引器相同的功能，而无需实际在磁盘上写入和索引事件。这使重型转发器能够理解并根据事件数据对单个事件执行操作，例如数据屏蔽、过滤和路由。由于附加应用程序具有完整的 Splunk Enterprise 安装，它可以托管需要完整 Python 堆栈才能进行正确数据收集的模块化输入，或者充当 Splunk HTTP 事件收集器 (HEC) 的端点。

数据收集后，它会被索引或处理并以可搜索的方式存储。

客户探索其数据的主要方式是通过搜索。搜索可以保存为报告，并用于为仪表板面板提供支持。搜索是从数据中提取信息。

通常，Splunk 附加应用程序部署在收集层（Splunk Enterprise 级别），而我们的仪表板应用程序部署在搜索层（Splunk Cloud 级别）。在简单的本地部署中，您可以在单个 Splunk 主机上拥有所有这三个层（称为单服务器部署）。

收集层是使用 Splunk 附加应用程序的更好方式。有两种安装附加应用程序的方式。您可以将其安装在客户环境下的收集层，或者将其安装在 Splunk Cloud 实例下的输入数据管理器中。

请参阅下图，了解 Splunk 部署架构与我们的附加应用程序：

Splunk 部署架构

上述图中所示的输入数据管理器 (IDM) 是 Splunk Cloud 管理的数据收集节点 (DCN) 实现，仅支持脚本化和模块化输入。对于超出此范围的数据收集需求，您可以使用 Splunk 重型转发器在您的环境中部署和管理 DCN。

Splunk 允许从各种来源收集、索引和搜索数据。一种数据收集方式是通过 API，这允许 Splunk 访问存储在其他系统或应用程序中的数据。这些 API 可以包括 REST、Web 服务、JMS 和/或 JDBC 作为查询机制。Splunk 和任何第三方开发人员提供一系列应用程序，通过 Splunk 模块化输入框架实现 API 交互。这些应用程序通常需要完整的 Splunk Enterprise 软件安装才能正常运行。

为了方便通过 API 收集数据，通常将重型转发器部署为 DCN。重型转发器比通用转发器更强大的代理，因为它们包含完整的解析管道，并且能够理解并对单个事件执行操作。这使它们能够通过 API 收集数据并在将其转发到 Splunk 实例进行索引之前对其进行处理。

要了解有关 Splunk Cloud 部署高级架构的更多信息，请参阅 Splunk 验证架构。

本内容的正式版本为英文版。部分 Cloud Software Group 文档内容采用了机器翻译，仅供您参考。Cloud Software Group 无法控制机器翻译的内容，这些内容可能包含错误、不准确或不合适的语言。对于从英文原文翻译成任何其他语言的内容的准确性、可靠性、适用性或正确性，或者您的 Cloud Software Group 产品或服务沿用了任何机器翻译的内容，我们均不作任何明示或暗示的保证，并且适用的最终用户许可协议或服务条款或者与 Cloud Software Group 签订的任何其他协议（产品或服务与已进行机器翻译的任何文档保持一致）下的任何保证均不适用。对于因使用机器翻译的内容而引起的任何损害或问题，Cloud Software Group 不承担任何责任。

这是否有帮助？

Splunk 架构与 Citrix Analytics 附加应用程序

September 16, 2025

投稿者:

C C

September 16, 2025

投稿者:

C C

在本文中

这是否有帮助？