使用 Splunk 通用转发器或 Splunk REST API 的优势？答案

【问题标题】：Advantages to using Splunk Universal Forwarders or Splunk REST API?使用 Splunk 通用转发器或 Splunk REST API 的优势？
【发布时间】：2015-03-03 06:20:24
【问题描述】：

我目前正在使用 Splunk 作为索引从 Java 应用程序生成的日志文件的一种方式。我有一个使用开发数据（在本地服务器上）运行的 Splunk Enterprise 实例，目前日志数据只是通过他们的 REST API（使用他们的 Java SDK）推送到 Splunk。

但是，此 Java 应用程序最终将用于处理生产数据，并在 AWS EC2 实例上运行。我想知道放弃他们的 REST API 并在这些 EC2 实例上实现 Splunk Universal Forwarders 是否有任何优势。

会有什么优势吗？什么时候适合使用转发器而不是 REST API？

据我所知，货运代理在规模上做得很好，所以也许这是一个优势？我四处搜索，但没有发现两者之间有任何明确的比较，所以我希望这里的人可能会有更好的主意。

【问题讨论】：

看看docs.splunk.com/Documentation/Splunk/6.2.1/Forwarding/…，Forwarder comparison的表。

标签： java rest logging splunk

【解决方案1】：

Splunk REST API 真正用于与外部应用程序和请求集成以管理已编入索引的数据。

通用/重型货运代理应处理任何大量传入，因为它们是专门为该功能开发的（因此效率提高了几个数量级）。

【讨论】：

虽然这是一个非常古老的问题并且当时的答案是正确的，但我认为值得更新的是，您还可以使用 Splunk 的 Http 事件收集器 (HEC)。 HEC 最初设计为从移动应用程序获取日志的选项，经过高度优化，设计为在负载均衡器后面运行（消除单点故障），并且具有相当简单和灵活的选项，包括批量发送，因此它可以是新部署考虑的不错选择。