如何为Splunk特定索引单独调整fields字段提取上限

可以实现仅针对单一索引调整字段提取上限，无需修改全局limits.conf配置。

操作前提 #

需使用Splunk Enterprise 8.0及以上版本，该版本开始支持在props.conf中针对特定规则单独覆盖limits类参数，优先级高于全局配置。如果你的版本低于8.0，可通过transforms.conf搭配索引过滤规则实现相同效果。

配置步骤 #

1. 进入自定义应用的本地配置目录，路径为$SPLUNK_HOME/etc/apps/<你的自定义应用名>/local/，没有对应目录可手动创建，避免修改系统默认配置导致升级时被覆盖。
2. 编辑目录下的props.conf文件，添加如下配置：

# 替换为目标索引对应的 sourcetype，若索引下有多个sourcetype可重复配置多个对应段
[<目标sourcetype名称>]
# 限定规则仅对目标索引生效，替换为你的索引名称
INDEXED = <目标索引名称>
# 覆盖字段提取上限为500
limits.fields.limit = 500

3. 保存配置后，单机部署执行splunk restart，集群部署执行splunk reload deploy-server使配置生效。

生效验证 #

执行如下搜索语句验证配置是否生效：

index=<目标索引名称> | head 1 | eval field_count=mvcount(_raw_fields) | table field_count

返回结果大于200即代表配置生效。

历史配置未生效的常见原因 #

• 配置放在了system/default或应用的default目录下，被优先级更高的local目录配置覆盖
• 未绑定INDEXED参数做索引限制，配置被其他同sourcetype的规则覆盖

内容的提问来源于stack exchange，提问作者Akhil