Splunk Enterprise 10.2.1 发布重要更新，原生支持 Apple Silicon
Splunk Enterprise 10.2.1 (macOS, Linux, Windows) - 搜索、分析和可视化，数据全面洞察平台 Search, analysis, and visualization for actionable insights from all of your data 请访问原文链接：https://sysin.org/blog/splunk-10/ 查看最新版。原创作品，转载请保留出处。 作者主页：sysin.org Splunk Enterprise 对所有数据进行搜索、分析和可视化，获得可执行的洞察。 Splunk 平台实现了从边缘到云的端到端可视化 探索任何类型和价值的数据——无论它存在于您的数据生态系统中的何处。 通过监控、告警和运营报告，推动业务韧性。 创建自定义仪表盘和数据可视化 (sysin)，从任何地方解锁洞察——无论是在运营中心、桌面、现场还是移动中。 利用来自组织任何地方的数据，让您快速做出有意义的决策。 随时随地访问您的数据 无论是在本地、家中、数据中心，还是多种环境的统一混合体验，均可利用平台。 预测与预防，而非仅仅反应。通过为数据赋予机器级智能，提升安全性和业务成果。 通过实时流处理，在毫秒级别内采集、处理并分发数据到 Splunk 及其他目的地。 从数千个数据源采集和摄取数据 (sysin)，规模达数 TB 级别。 借助移动设备、电视和增强现实功能，实现随时随地的互动与协作。 即时响应，利用可视化功能。将日志转换为指标，提升搜索和监控性能，简化告警功能。 使用直观的仪表盘构建体验，轻松传达即使是最复杂的数据故事。 Splunk Enterprise 10 要求以下系统： Linux x64： Universal Forwarder 几乎兼容所有架构的类 Unix 系统。 Windows x64： Universal Forwarder 兼容 Windows 10 及以上版本，包含 32-bit 和 64-bit。 macOS (x64, AArch64)： Splunk Enterprise 10.2.1 此版本修复了一些已知问题（详述略过），并首次发布 Universal2 Binary。新增功能同下。 Splunk Enterprise 10.2 版本新增内容（完整版本） 预览更新 2：字段过滤器默认启用，并支持 为了保护个人可识别信息（PII）和受保护的健康信息（PHI），并满足 GDPR 等数据隐私法规要求，可以在 Splunk 平台中使用字段过滤器来限制对敏感数据的访问 (sysin)。字段过滤器允许通过对事件中的字段进行脱敏或混淆来限制对机密信息的访问，并支持基于角色的豁免。 在 Preview Update 2 中： 重要说明（READ THIS FIRST）： Edge Processor 向 Amazon S3 发送数据时支持 Parquet 格式 从 Edge Processor 向 Amazon S3 发送数据时，现在可以选择将数据存储为 Parquet 文件格式。 Edge Processor 在 Splunk Enterprise 上支持的操作系统版本变更 由于 Splunk Enterprise 10.2 中针对 CVE 的修复，Edge Processor 的操作系统支持发生了破坏性变更： 不再支持： 新增支持： 在非受支持操作系统上运行数据管理控制平面或 Edge Processor 的用户 (sysin)，必须先升级操作系统，再升级到 Splunk Enterprise 10.2，以避免 Edge Processor 数据丢失。数据管理控制平面之外的其他 Splunk Enterprise 组件不受影响。 Edge Processor 支持 JSON 数组作为输入格式 Edge Processor 现在支持 JSON 数组格式输入，允许输入中包含方括号，并使用逗号分隔多个对象。 Edge Processor 监控仪表板 Edge Processor 解决方案包含更新后的用户界面，可用于： 更新 更新了用于管理 Edge Processor 实例底层进程的 支持第三方和外部应用的 OAuth 2.0 管理员现在可以为第三方应用配置 OAuth 2.0，通过 REST API 安全连接 Splunk 平台，使用户能够更快获取数据与洞察并做出决策。 Dashboard Studio 中 O11y 指标与图表改进 用户可以在已发布和导出的仪表板中使用 Splunk Observability Cloud 的服务地图视图，并对相关指标和图表进行了持续优化和缺陷修复。 Splunk Enterprise 的 Search 应用中提供 SPL 的 Splunk AI Assistant Splunk AI Assistant for SPL 现已在混合本地部署环境中可用，可帮助用户： 使用该功能前需安装 1.3.2 或更高版本的 Splunk AI Assistant for SPL 应用。 移除 Node.js Splunk 已正式移除 Node.js。依赖 Node.js 的应用必须自行打包 Node.js，否则可能出现功能退化或异常行为。 SPL2 SPL2 在现有 SPL 基础上引入多项增强： 联邦提供程序名称不区分大小写 从该版本开始，联邦搜索中的提供程序名称大小写不敏感 (sysin)。如果升级前存在仅大小写不同的提供程序名称，必须修改为唯一名称，否则可能产生破坏性影响。 Dashboard Studio 支持 SPL2 在 Dashboard Studio 中，可以通过以下方式使用 SPL2： Dashboard Studio 其他增强 Dashboard Studio 获得了多项功能和体验方面的改进。 Ingest-Tier Scaling Ingest-Tier Scaling 为自管理的 Splunk 部署提供高吞吐、可扩展的数据摄取能力，提升弹性、运维效率，并实现摄取层与索引层的清晰分离。 索引间批量数据迁移（集群） 支持在非 SmartStore 集群环境中，根据搜索条件在索引之间高效迁移数据，无需删除整个索引。 OTel Collector 生效配置可视化 增强了对 OpenTelemetry Collector 配置的可见性，可查看通过 OpAMP 通信的完整、生效配置。 Agents Lookup 新增代理查找功能，通过使用缓存的 CSV 查找文件而非直接查询索引，大幅降低 UI 加载时间，提升大规模代理管理性能。 代理管理 UI / UX 改进 Forwarder 与 OpenTelemetry 管理整合到统一控制台，并引入自动化向导以简化服务器类创建。 代理管理中的目标配置 现在可以直接在代理管理中配置 S3 和文件系统目标，并自动同步到已连接的代理 (sysin)。该功能需要代理管理版本 10.2 或更高。 排队的临时搜索配额 新增系统级和角色级的临时搜索排队限制，以防止无限排队对系统性能和资源利用率造成影响。 Sidecar 之间通信的 TLS 校验 Sidecar 在通过直连端口通信时使用 TLS，并验证目标 sidecar 的证书，以确保通信安全。 使用 Nascent 确保搜索头集群配置正确 Nascent sidecar 负责管理 etcd 集群，确保搜索头集群中配置一致，并支持 Storage sidecar 的正常运行。 审计日志 v2：结构化审计日志格式 Audit Trail Log v2 使用符合 CIM 的 JSON 结构，包含更丰富的元数据，更适用于合规与审计场景。 可选使用 Python 3.13 Splunk 平台默认仍使用 Python 3.9，但 Splunk Web 仅使用 Python 3.13，用户可以选择切换。 KV Store Server 8.0 可用 Splunk Enterprise 10.2 支持 KV Store Server 8.0，7.0 将在未来版本中移除。 无需 root 运行 Splunk Enterprise Splunk Enterprise 默认不再以 root 身份运行。如需使用 root，必须显式添加 Monitoring Console 概览仪表板（Beta）重设计 概览仪表板已重新设计，用于： Splunk Enterprise 10.2.1 for macOS, Linux, Windows (2026-02-27) Splunk Enterprise 10.2.1 此版本修复了一些已知问题（详述略过），并首次发布 Universal2 Binary。 相关参考：Gartner Magic Quadrant for Security Information and Event Management 2025 更多：HTTP 协议与安全
工作原理
搜索您的数据
分析您的数据
可视化您的数据
基于数据采取行动
核心功能
机器学习与人工智能
数据流处理
可扩展索引
协作工具
分析工作区
强大仪表盘
系统要求
新增功能
tstats 命令limits.conf 和 web-features.conf 启用tstats 命令tstats 命令可不受限制使用
字段过滤器功能强大，但并不适合所有组织。mpreview、mstats），在充分规划前不应在生产环境中启用字段过滤器systemd 配置说明systemd 配置说明，以实现更平滑的关闭流程。之前在使用 systemctl restart 或 stop 时，Edge Processor supervisor 和 systemd 会同时发送终止信号，导致实例异常退出。现在可通过在 systemd 单元文件中设置 KillMode=mixed 来避免该问题。--run-as-root 参数。下载地址