بررسی جزییات فنی انواع مختلف Splunk License

مجوز اسپلانک (Splunk License) چیست؟

اسپلانک یک ابزار کاملا رایگان نیست؛ هرچند نسخه های رایگانی هم دارد. مانند هر ابزار یا نرم افزار تجاری دیگری، هر نمونه یا instance از نرم‌افزار اسپلانک به یک License یا مجوز نیاز دارد. انواع مختلفی از این مجوزها برای اسپلانک وجود دارد و این مجوزهای نرم‌افزار اسپلانک، ویژگی‌هایی را که به آن‌ها دسترسی دارید و مقدار داده‌ای که می‌تواند ایندکس شود، مشخص می‌کنند. در واقع هر مجوز اسپلانک یک فایل است که اطلاعات مربوط به مجوز شما را در خود جای داده است. این مجوز به شما می‌گوید که قابلیت‌ها و محدودیت‌های شما در چارچوب مجوز چیست. به طور مثال، یکی از این محدودیت ها، مقدار حجم داده‌ای است که می‌توانید در هر روز ایندکس کنید. در این مقاله درباره انواع مختلف مجوزهای اسپلانک صحبت می کنیم. با ما در ادامه مقاله همراه باشید.

مجوز Enterprise

این نوع، License اصلی و تجاری Splunk Enterprise محسوب می‌شود که به تمام امکانات و قابلیت های اسپلانک دسترسی دارد. این مجوز در حال حاضر در ایران مورد خرید و فروش قرار می‌گیرد و توسط سازمان‌ها و شرکت‌ها استفاده می‌شود. به دلیل وجود تحریم‌ها تهیه مستقیم این مجوز از شرکت اسپلانک برای کاربران ایرانی وجود ندارد و ناگزیر به استفاده از شرکت‌های واسط هستید. در ایران، بسیاری از سازمان‌ها مجوزEnterprise  را به صورت اشتراکی تهیه و استفاده می‌کنند. مشتریان می‌توانند این مجوز را بر اساس حجم داده (مجوز مبتنی بر حجم) یا بر اساس تعداد vCPU (مجوز زیرساخت) خریداری کنند. در ادامه درباره این دو نوع مجوز توضیح می دهیم.

مجوز مبتنی بر حجم اسپلانک  Enterprise

در مجوز مبتنی بر حجم، شما به تمام ویژگی‌های اسپلانک Enterprise دسترسی خواهید داشت. این مجوز اجازه نصب‌ اسپلانک به صورت مجزا یا توزیع‌شده را می‌دهد. در مجوزهای کمتر از ۱۰۰ گیگابایت داده در روز، در صورتی که نقض محدودیت رخ دهد و تعداد مشخصی از هشدارهای مجوز صادر شود (معمولا پنج مرتبه در یک دوره ۳۰ روزه)، جستجو متوقف می شود. یعنی دیگر نمی توانید از قابلیت جستجوی اسپلانک استفاده کنید؛ هرچند امکان ایندکس داده کماکان برقرار است. اما برای مجوزهای بیشتر از 100 گیگ در روز، محدودیت جستجو اتفاق نمی افتد.

مجوز زیرساخت اسپلانک  Enterprise

مجوز زیرساخت هم مانند مجوز مبتنی بر حجم، به شما دسترسی به تمام ویژگی‌های اسپلانک  Enterprise می دهد و برای نصب‌ به صورت مجزا و توزیع‌شده مناسب است. محدودیت این مجوز بر اساس تعداد cpu های مجازی (Virtual CPU) اختصاص یافته به هر نمونه از اسپلانک است. ویژگی مثبت این نوع مجوز این است که در این نوع مجوز در هیچ حالتی، جستجو محدود و متوقف نمی شود. البته که قیمت آن هم نسبت به حالات دیگر گران تر است.

مجوزهای توسعه دهنده Splunk developer

دو نوع مختلف مجوز توسعه‌دهنده اسپلانک وجود دارد: مجوز Dev/Test و مجوز توسعه‌دهنده (Developer). این مجوزهای توسعه‌دهنده اسپلانک  برای توسعه و آزمایش محتوا برای استفاده با اسپلانک طراحی شده‌اند و نمی‌توانند برای محیط عملیاتی استفاده شوند.

 مجوز Dev/Test

مجوز تست و توسعه (Dev/Test) فقط برای مشتریانی که یک مجوز تجاری و پولی برای اسپلانک  Enterprise خریداری کرده‌اند در دسترس است. این مجوز برای آزمایش به‌روزرسانی‌ها و ارزیابی تغییرات پیکربندی برنامه‌های سفارشی قبل از انتقال تغییرات به محیط عملیاتی استفاده می‌شود. مجوز Dev/Test نمی‌تواند همراه با سایر مجوزها استفاده شود. به‌عنوان مثال، اگر پس از نصب یک مجوز دیگر غیر از مجوز Dev/Test، این مجوز را نصب کنید، مجوز Dev/Test فایل‌های مجوز دیگر اسپلانک  Enterprise را حذف و جایگزین می‌کند.

 مجوز Developer

مجوز توسعه‌دهنده تحت توافق‌نامه توسعه‌دهنده اسپلانک برای توسعه‌دهندگان در دسترس است. این مجوز برای توسعه app و add-on ها در ارتباط با اسپلانک  طراحی شده است تا توسعه‌دهندگان بتوانند آن محتوا را قبل از انتشار در Splunkbase آزمایش کنند. این مجوز به شما دسترسی به ابزارهای مختلف توسعه‌دهنده اسپلانک  در dev.splunk.com و مجموعه کامل ویژگی‌های اسپلانک  Enterprise را می‌دهد و برای نصب‌ به صورت مجزا و توزیع‌شده مناسب است. این مجوز پس از ۶ ماه منقضی می‌شود اما می‌توانید یک هفته قبل از انقضای مجوز خود درخواست تمدید بدهید. محدودیت حجم این مجوز ۱۰ گیگابایت داده در روز است و اگر از این مقدار فراتر بروید، هشدار مجوز دریافت خواهید کرد.

 مجوز آزمایشی (Trial license) برای  Splunk Enterprise

زمانی که شما اسپلانک Enterprise را دانلود و نصب می‌کنید، یک مجوز آزمایشی اسپلانک  Enterprise به‌طور خودکار برای آن نمونه ایجاد می‌شود. در این مجوز که مهلت 60 روزه دارد، دسترسی به تمام ویژگی‌های اسپلانک  Enterprise وجود دارد اما حجم ایندکس روزانه داده تا سقف 500 مگابایت ایندکس محدودیت دارد و در صورت نقض این محدودیت هشدار صادر شده و در صورتی که هشدارها به تعداد مشخصی برسد از جستجو جلوگیری می شود. اگر بخواهید با این مجوز یک اسپلانک را به صورت توزیع‌شده راه‌اندازی کنید، هر نمونه باید از مجوز آزمایشی Enterprise مربوط به خود استفاده کند و امکان مدیریت مجوز متمرکز با مجوز آزمایشی Enterprise وجود ندارد.

مجوز Forwarder

این نوع مجوز مخصوصاً برای Heavy Forwarder طراحی شده است و بر روی component هایی اعمال می‌شود که قابلیت ایندکس داده در آن‌ها غیرفعال است و صرفاً برای ارسال داده استفاده می‌شوند. مجوزForwarder  شامل Authentication است اما همان طور که گفته شد قابلیت ایندکس داده را ندارد.

مجوز رایگان

مجوز رایگان به شما اجازه می‌دهد که یک نمونه کاملاً رایگان از اسپلانک  Enterprise با عملکرد و استفاده محدود از مجوز داشته باشید. در مجوز رایگان به مجموعه محدودی از ویژگی‌های اسپلانک  Enterprise دسترسی دارید. این مجوز منقضی نمی‌شود اما مانند مجوز آزمایشی سقف 500 مگابایتی برای ایندکس روزانه داده ها دارد و اگر از این حد فراتر بروید، هشدار مجوز دریافت خواهید کرد. مجوز رایگان پس از تعداد مشخصی از هشدارهای مجوز از جستجو جلوگیری می‌کند و ویژگی های مهمی مانند Alert، Schedule Search، Authentication، Clustering و Distributed Search در این نوع مجوز غیرفعال هستند و کاربر به آن‌ها دسترسی نخواهد داشت.

نحوه اندازه گیری حجم داده در اسپلانک

یکی از نکات مهم، درک نحوه اندازه‌گیری حجم داده توسط اسپلانک برای محاسبه مصرف است. در مستندات ممکن است از اصطلاح “Log ورودی” استفاده شود، در حالی که در برخی منابع ممکن است به “Logی که ایندکس می‌شود” اشاره گردد. این تفاوت ظاهری به دلیل فرآیند پردازش داده در اسپلانک است.  زمانی که Log وارد اسپلانک می‌شود، مجموعه‌ای از Pipeline ها را طی می‌کند تا نهایتاً بر روی دیسک ذخیره شود. قبل از نوشته شدن بر روی دیسک، اسپلانک داده‌ها را فشرده می‌کند. بنابراین، حجم داده فشرده شده روی دیسک، کمتر از حجم داده اولیه ورودی به اسپلانک است.

اسپلانک برای محاسبه مصرف، حجم Log را قبل از فشرده‌سازی و زمانی که در Parsing Pipeline قرار دارد، اندازه‌گیری می‌کند. این حجم، معادل حجم واقعی داده اولیه است. به همین دلیل، برای جلوگیری از ابهام، معمولاً از اصطلاح “Log ورودی” استفاده می‌شود تا مشخص گردد منظور، حجم داده قبل از هرگونه فشرده‌سازی یا تغییر است. البته باید توجه داشت مواردی مانند Replicated Data یا Summary Index و برخی موارد دیگر در محاسبه مصرف مجوز لحاظ نمی شوند.

راهکارهای بهینه سازی مصرف License در اسپلانک

یکی از مؤثرترین راه‌ها برای کاهش هزینه‌ها، فیلتر کردن داده‌هایی است که نیازی به ایندکس شدن ندارند. با استفاده از Ingest Actions، می‌توانید فیلترهایی تنظیم کنید تا لاگ‌های غیرضروری قبل از ایندکس شدن حذف شوند؛ یعنی به جای ایندکس کردن تمام داده ها، می‌توانید بر روی رویدادهای کلیدی مانند خطاها یا فعالیت‌های بحرانی تمرکز کنید که به‌طور قابل توجهی بار داده را کاهش می‌دهد.

راه دیگر این است که بین داده هایی که به تحلیل فوری نیاز دارند و داده هایی که فعلا نیازی به تحلیل فوری آن ها ندارید تمایز قائل شوید و آن دسته از داده هایی که نیاز به تحلیل فوری ندارند را ایندکس نکنید. شاید این پرسش پیش بیاید که این روش مگر همان حذف لاگ های غیر ضروری نیست؟ پاسخ خیر است! در این روش شما داده ها را نگه می دارید اما ایندکس نمی کنید. ویژگی جدیدی در Splunk Enterprise 9.3 به نام File System Destination به شما این امکان را می‌دهد که داده‌ها را به ذخیره‌سازی محلی یا شبکه‌ای ارسال کنید قبل از اینکه تصمیم بگیرید آیا نیاز به ایندکس شدن دارند یا خیر. این ویژگی اجازه می دهد تا لاگ‌هایی که نیاز به تحلیل فوری ندارند (مانند لاگ‌های PowerShell) را بر روی دیسک ذخیره کنید و برای بررسی‌های آینده نگه‌دارید، بدون اینکه بر مصرف مجوز تأثیر بگذارد.

جمع بندی

در این مقاله درباره انواع مجوزهای اسپلانک صحبت کردیم. همان طور که دیدید اسپلانک انواع مجوزهای مختلفی برای حالات مختلف استفاده دارد که متناسب با نوع نیازمندی شما یا سازمان شما می تواند مورد استفاده قرار بگیرد. در صورتی که نیاز به خرید مجوز اسپلانک داشتید می توانید با ما در تماس باشید. همچنین ما در دوره SysAdmin مطالب مربوط به مجوزهای اسپلانک را با جزییات بیشتری مورد بحث قرار داده ایم که در صورت نیاز می توانید آن دوره را تهیه و قسمت دوم آن را مشاهده کنید.