关于Splunk login-info.cfg字段含义、结构及异常问题的技术问询

1. login-info.cfg各字段含义 #

• lastSuccessLoginTimestamp：记录用户最后一次成功登录的UNIX时间戳，你测试中成功登录后该值更新属于预期行为
• loginAttempts：用于累计用户的失败登录尝试次数，但该字段更新需要满足特定触发条件
• lastFailedLoginTimestamp：记录用户最后一次失败登录的UNIX时间戳
• lastLoginIP：记录用户最后一次成功登录的客户端IP地址
• passwordChangedTimestamp：记录用户密码最后一次修改的UNIX时间戳

2. 文件结构：每个用户对应一个stanza #

是的，login-info.cfg的结构为每个用户对应一个独立的stanza（段），格式为[用户名]，比如你实例中的[admin]就是管理员用户对应的配置段。当新增Splunk本地用户后，文件会自动生成对应用户的stanza并记录其登录相关信息。

3. 失败登录时相关字段未更新的原因 #

Splunk对失败登录的记录逻辑有特定限制，主要原因包括：

• 仅记录本地用户的失败登录：如果登录尝试针对LDAP/AD等外部认证用户，失败登录不会写入login-info.cfg，只有Splunk本地用户的失败登录才会触发字段更新
• 阈值触发机制：部分版本中，失败登录需要达到一定次数（比如连续3次失败）才会更新loginAttempts和lastFailedLoginTimestamp，单次失败可能不会立即写入文件
• 异步写入策略：Splunk对login-info.cfg的写入采用异步或批量方式，避免频繁IO操作影响性能，单次失败登录可能不会实时触发文件更新

关于.cfg后缀的误解 #

login-info.cfg虽然使用.cfg后缀，但它并非传统静态配置文件——它是Splunk用于动态记录用户登录状态的状态文件，会随用户登录行为实时更新。Splunk沿用.cfg后缀可能是出于配置文件体系的统一命名习惯，但确实容易让用户误以为这是可手动修改的静态配置。

注意：不要手动修改login-info.cfg内容，可能导致用户登录状态异常，甚至无法正常登录Splunk实例。

内容的提问来源于stack exchange，提问作者terzino di paese