古いログをSplunkに新しいインデックスで転送する方法はありますか？

Question

すでにインデックス（A）に転送されたログがあります。私はログを圧縮して保存しました。私はインデックスAの保存期間が非常に短いことに気づいたので、分析を行う前にSplunkのログを失いました。保存期間が長い新しいインデックス（B）を作成し、古いジップログをこの新しいインデックスに転送したいとします。私は設定を変更し、splunkフォワーダを再起動しました。解凍されたログが新しいインデックスに転送されることはありません。何か不足していますか？これを行う簡単な方法はありますか？ログデータを新しいファイルにコピーしても構いません。私はそれを試みたが、うまくいかなかった。

Answer 1

私の意見では、新しいインデックスを作成する必要はありません。

まず、あなたはRestore archived indexed dataその後Change a retirement and archiving policy

にできる必要があります。 この手順では、splunkに "Thaw"ログのインデックスを再作成し、必要なだけ保存してもらうように要求することができます。