使用Splunk Universal转发器从服务器删除日志

Question

可以使用Splunk Universal转发器从特定服务器中删除日志。

e.g。我在运行应用程序的服务器上安装了通用转发器。 UF的目的是将此应用程序的日志发送到splunk服务器以进行监视。 但是，此应用程序存在负载问题，需要将日志轮换放在适当的位置，否则服务器将关闭。我知道有传统的方法来设置日志轮换，但可以使用Splunk UF从源服务器删除日志然后索引，而不是仅仅复制数据并将其编入索引吗？

如果你们需要进一步澄清，请告诉我。

Answer 1

是。 Splunk将允许您通过UF执行脚本（通常用于收集数据），但您可以使用它删除日志。

http://docs.splunk.com/Documentation/SplunkCloud/6.6.3/Data/Getdatafromscriptedinputs#Using_a_wrapper_script