Splunk Enterprise 10.6 发布 - 搜索、分析和可视化，数据全面洞察平台

Splunk Enterprise 10.6.0.5 (macOS, Linux, Windows) - 搜索、分析和可视化，数据全面洞察平台

Search, analysis, and visualization for actionable insights from all of your data

请访问原文链接：https://sysin.org/blog/splunk-10/ 查看最新版。原创作品，转载请保留出处。

作者主页：sysin.org

Splunk Enterprise

对所有数据进行搜索、分析和可视化，获得可执行的洞察。

Splunk

工作原理

Splunk 平台实现了从边缘到云的端到端可视化

Splunk 平台基于统一平台，融合安全与可观测能力，由 Splunk AI 提供支持

搜索您的数据

探索任何类型和价值的数据——无论它存在于您的数据生态系统中的何处。

服务监控与洞察仪表盘示例

分析您的数据

通过监控、告警和运营报告，推动业务韧性。

指标工作区动画

可视化您的数据

创建自定义仪表盘和数据可视化 (sysin)，从任何地方解锁洞察——无论是在运营中心、桌面、现场还是移动中。

随时随地体验 Splunk 的强大功能

基于数据采取行动

利用来自组织任何地方的数据，让您快速做出有意义的决策。

企业将数据转化为行动

新增功能

Splunk 10.6 版本新增功能

Federated Search 的 Splunk 到 Splunk 连接安全性改进

Splunk 的 Federated Search 现在会验证并确认联邦搜索头与远程搜索头之间的连接。此更新启用了自动化能力交换，使搜索头能够优化性能并确保搜索任务高效运行。通过主动确认兼容性，该功能显著提升了分布式搜索环境的整体稳定性和可靠性。

注意：此更改后，如果升级后任何远程搜索头运行的版本低于 Splunk Enterprise 10.4，Federated Search 将会失败。如果您正在使用 Federated Search，请在升级部署之前，将所有远程搜索头升级到 Splunk Enterprise 10.4 或更高版本。
Federated Search - Hybrid Model 支持双向认证传输层安全协议（mTLS）

Splunk 现在为使用 Federated Search - Hybrid Model 的客户提供 mTLS 支持。客户现在可以在其 Splunk Cloud Platform 部署中安装客户端证书，以使该功能正常运行。需要提交 Splunk Support 工单以更新此配置。
Splunk Enterprise 支持 $8$ 加密密码格式

Splunk 正在迁移到新的秘密加密密码格式 $8$，该格式符合联邦信息处理标准（FIPS），并使用独立派生的高熵密钥，例如基于密钥哈希消息认证码（HMAC）的密钥派生函数（HKDF）- 安全哈希算法 256 位（HKDF-SHA256）。

更新后的密码加密方式将替代 Splunk 平台当前使用的 $7$ 加密密码格式。

Splunk CLI 提供迁移工具，帮助客户迁移到 $8$ 格式：
```
splunk reencrypt secrets
splunk reencrypt shcluster-secrets
```
这些命令仅处理基于非 $8$ 格式的密钥，因此对已经迁移的密钥重新运行不会产生任何效果。

Splunk Enterprise 仍然可以读取使用 $7$ 格式加密的密钥。

Splunk Enterprise 客户从 Splunk Enterprise 10.6 开始可以使用这些更新。

升级到 Splunk Enterprise 10.6 只会更改 Splunk 平台未来加密所使用的秘密哈希算法；现有加密内容不会发生变化，除非运行上述迁移命令。
升级到共驻式 App Key Value Store（KV Store）

在 Splunk Enterprise 10.6 中，KV Store 现在基于 PostgreSQL，为受支持的 Linux、Windows 和 macOS 平台提供支持。

KV Store 为 Splunk Enterprise 和 Splunk 应用程序提供应用范围内的结构化数据存储。

此更新通过将 PostgreSQL 作为 KV Store 的基础存储技术，实现底层存储现代化，同时保留受支持的 KV Store 行为、API 和应用程序工作流。

Splunk Enterprise 10.6 已根据 Splunk 的兼容性、数据完整性、性能和可靠性标准完成验证 (s)，以支持受支持应用程序和操作流程的持续运行。

现有 KV Store 数据从过去基于 MongoDB 的实现迁移到 PostgreSQL 的 Splunk 支持路径，以及升级和迁移指南、资格条件、前置要求和平台特定要求，请参阅相关升级文档。
移除 Splunk 组件间连接使用的 TLS 1.0 和 TLS 1.1 网络加密协议

Splunk 平台不再支持 Splunk 组件之间连接使用 TLS 1.0 或 TLS 1.1 网络加密协议。

不再提供临时启用这些协议的方法。

请确保 Splunk 组件连接已迁移到 TLS 1.2 或 TLS 1.3。
移除公共 TLS 证书中的客户端身份验证扩展密钥用途（EKU）

为增强安全性并符合行业变化，数字证书颁发机构已开始从其签发的公共 TLS 证书中移除“客户端身份验证（Client Authentication）”扩展密钥用途（EKU）。

虽然此变化并非 Splunk Enterprise 10.6 特有，但 Splunk 借助此版本提醒客户确认已为部署更新证书，并应在 2027 年 3 月 1 日之前完成更新。
Edge Processor 中事件的状态聚合和去重

现在可以配置 Edge Processor 管道 (y)，通过聚合和删除重复事件来减少数据量和噪声。

使用 stats SPL2 命令，可以在指定状态窗口内聚合由 Edge Processor 实例处理的事件。

使用 dedup SPL2 命令，可以删除指定字段中包含相同值的重复事件。
Edge Processor 功能增强，包括扩展 SPL2 支持和更多配置选项

Edge Processor 现在支持以下功能和工作流：
- 首次设置时选择默认遥测索引器。
- 从 Edge Processor 详细信息页面删除断开连接的 Edge Processor 实例。
- 使用 HTTP Event Collector（HEC）services/collector/raw 端点，将 Edge Processor 原始数据发送到 Splunk 索引。
- 提升 S2S 协议可靠性。
- 使用 if SPL2 命令通过 if-else 逻辑进行条件数据处理。
- 使用以下 SPL2 评估函数 (s)，在不同类型和格式之间转换数据：
  - array_to_csv
  - csv_to_array
  - kv_keys
  - kv_to_object
  - object_to_csv
  - object_to_kv
（有限可用）Splunk Enterprise 在 FIPS 140-3 模式下支持 aarch64（ARM64）处理器架构

有限可用（Conditional Availability）

Splunk Enterprise 现在支持在 FIPS 140-3 模式下运行于 aarch64（ARM64） 处理器架构，包括 Amazon Web Services（AWS）Graviton 4 虚拟机。
Universal Forwarder 在 Splunk 10.6 上完成认证

Universal Forwarder 已通过 Splunk Enterprise 10.6 和 Splunk Cloud 10.6 认证。
减少需要 Splunk 平台重启的应用管理操作

由于应用管理工具的内部改进，应用卸载操作需要 Splunk 平台重启的概率降低约 50%。

升级到 Splunk 平台 10.6 后，Splunk Cloud 客户将逐步启用此功能，也可以联系 Splunk Support 安排启用时间。

Splunk Enterprise 客户可以通过更新 limits.conf 中的 [reload_on_delete] 配置段启用此功能 (i)：disabled = false。

注意，可以通过设置：disabled = true 回滚该功能。

启用或禁用此功能需要重启 Splunk 平台。
审计日志中的配置变更跟踪

在 Splunk Enterprise 中，可以使用审计日志跟踪通过 Splunk Web 或 REST API 对配置进行的修改，并记录在 _audit 索引中。

该功能可以查看：
- 谁进行了修改；
- 修改了什么内容；
- 修改时间。
此功能此前已在 Splunk Cloud Platform 中提供，现在扩展至 Splunk Enterprise。
面向 Entra ID 客户的基于 SCIM 的用户自动取消配置功能

此功能允许使用 Microsoft Entra ID 进行 SAML 身份验证的客户配置 Splunk 搜索头，通过 SCIM 自动删除用户。

当用户从 Entra ID 中删除或失去 Splunk 访问权限时，系统会自动移除对应 SAML 用户。
Integrated Enterprise Value

提供 Integrated Enterprise Value 报告 (n)，使客户能够清晰查看 Cisco 数据消耗量、加权使用情况，以及 Ingest 在 CMC 和 MC 中剩余的授权额度。
Monitoring Console KVStore 仪表板更新

更新 Monitoring Console KVStore 仪表板。
Splunk Enterprise 版本格式变更

从 Splunk Enterprise 和 Splunk Cloud Platform 10.6 版本开始，Splunk 引入统一四段式版本格式：Major.Minor.Maintenance.Patch，示例：10.6.0.5。

该格式将在 Splunk Cloud 和客户自管理平台版本中统一使用，以提供一致且透明的版本跟踪方式。

此更新不会改变标准 Splunk Cloud 操作、服务消耗或部署计划。

使用自定义脚本、CMDB 集成或自动化工具解析 Splunk 版本字符串的客户，应确认这些工具兼容新的四段式格式。
Splunk Enterprise 数据管理 API

为 CMP 客户提供 API 支持。

包括 Splunk Enterprise 中 Edge Processor 的 API 支持。

新增公开方法，用于配置和管理以下 Edge Processor 功能：
- Edge Processor；
- 管道；
- 管道部署；
- 目标；
- sourcetype 同步；
- 共享设置；
- 管理员首次设置；
- 引导配置；
- 卸载流程。
Splunk AI Assistant 搜索页面更新

Splunk AI Assistant 已无缝集成到 Search & Reporting 体验中，将最新 AI Agent 能力直接引入搜索工作流，包括支持 SPL2 搜索编写。

AI Assistant 还可以帮助用户创建用于 Federated Search 和 MDL 数据集的 SPL2 搜索。
Ingest Tier Scaling（物理分离）

借助 Splunk Enterprise 的 Ingest-Tier Scaling，可以部署与索引器物理分离的专用 Ingest 层，并通过 Kubernetes 的 Splunk Operator（SOK）进行管理。

您可以：
- 独立扩展数据摄取能力；
- 在数据峰值期间提升系统恢复能力；
- 在大型本地部署环境中提高运行效率。
正式发布功能：Splunk 平台字段过滤器现已正式可用，并默认启用，用于保护搜索时结果中的敏感字段

为保护个人身份信息（PII）和受保护健康信息（PHI），并满足 GDPR 等数据隐私法规要求，Splunk 平台提供字段过滤器功能，用于限制敏感数据访问。

字段过滤器可以：
- 在搜索结果中对事件字段进行隐藏或混淆；
- 限制用户访问机密信息；
- 支持基于角色的例外授权。
注意：

字段过滤器是一项强大的安全工具，但并不适用于所有部署环境。

如果组织使用以下下游配置：
- 加速数据模型；
- 使用数据模型的 Splunk Enterprise Security（ES）检测；
- 用户级搜索时字段提取；
请在部署字段过滤器之前充分规划相关使用场景。

如果组织运行 Splunk Enterprise Security，或者用户大量依赖默认受字段过滤器限制的命令（如 mpreview 和 mstats），在充分规划替代方案之前，不建议在生产环境启用字段过滤器。
OpenTelemetry Collector 远程配置

可从 Agent 管理界面集中管理 OpenTelemetry Collector 配置，减少手动配置工作，并确保多个 Collector 使用一致设置。

支持：
- 从一个或多个文件创建配置集；
- 将配置集分配给受支持的 Collector；
- 通过替换或修改配置集更新配置；
- 从中央界面监控交付状态。
Collector 必须报告以下 OpAMP 能力：
- AcceptsRemoteConfig：用于接收配置；
- ReportsRemoteConfig：用于报告配置状态。