Splunk Cloud Platformサービスの詳細

Splunkフォワーダーの使⽤

フォワーダーソフトウェアには、ユニバーサルフォワーダーとヘビーフォワーダーの2種類があります。ほとんどの場合、ユニバーサルフォワーダーがSplunk Cloud Platformに最適なフォワーダーです。ユニバーサルフォワーダーにはデータ転送に必要な基本コンポーネントが含まれており、使用するハードウェアリソースも少なく、高い拡張性を備えています。⼀部の使⽤事例において、転送前にデータを解析したり、イベントのソースやタイプなどの指標に基づいてデータを転送する必要があったりする場合には、ヘビーフォワーダーが必要です。Splunk Cloud Platform契約には、Splunkフォワーダーの設定を⼀元管理するためのデプロイサーバーライセンスも含まれています。デプロイサーバーライセンスは、Splunkサポートに要求できます。Splunk Cloud Platform環境に対する設定、有効化、変換、フォワーダーからのデータ送信は、お客様の責任となります。つまり、バージョン互換性の維持を含む、フォワーダーのインストール、設定、および管理は、お客様の責任で⾏ってください。Splunk Cloud Platform環境に転送されるデータをルーティング、フィルタリング、およびマスキングする場合は、Ingest Actionsを利⽤します。詳細は「サポートされるフォワーダーバージョン」を参照してください。Splunk Cloud Platformで使⽤するAppのデータ収集コンポーネントのSplunkフォワーダーへのインストールも、お客様の責任となります。

サービスへのオンボーディングの⼀環として、Splunkはお客様がフォワーダーを使⽤してSplunk Cloud Platformにデータを送信するために使⽤するIPアドレスを提供します。これらのIPアドレスは、契約期間中は変わりません。契約レベルを引き上げた場合は、データを送信するための追加のIPアドレスが提供される場合があります。万が⼀IPアドレスが変更されるような場合には、事前に通知があります。ほとんどのお客様は、データがSplunk Cloud Platformに正常に転送されるように、これらのIPアドレスをアウトバウンドファイアウォールルールに追加する必要があります。アウトバウンドファイアウォールルールのライフサイクル管理を簡素化するため、提供された実際のIPアドレスまたはDNSマッピングを使⽤してください。

スクリプト⼊⼒とモジュール⼊⼒の詳細は「エクスペリエンスの指定」を参照してください。

詳細は、『データの取り込み』マニュアルの「データのアップロード」と「Use the Ingest Actions page ([Ingest Actions]ページの使⽤)」を参照してください。

HTTPイベントコレクター(HEC)の使⽤

HECを使⽤すると、トークンベースの認証モードを使⽤して、データやAppイベントをセキュアHTTP (HTTPS)プロトコルでSplunk Cloud Platformに送信できます。トークンを⽣成し、このトークンを使ってロギングライブラリまたはHTTPSクライアントを設定して、特定の形式でデータをHECに送信します。Splunk Cloud Platform環境では、デフォルトでHECが有効化されており、最⼤コンテンツ⻑は1MBサイズに設定されています。HEC経由でのSplunk Cloud Platform環境に対する設定、有効化、変換、データの送信は、お客様の責任となります。また、データの取り込みが中断しないように、Splunk Cloud Platformから受け取るHECエラーコードを監視して修復する作業もお客様の責任となります。詳細は、以下を参照してください。

• 『データの取り込み』マニュアルの「HTTPイベントコレクターの使⽤」
• 「サービスの制限と制約」の表にある「データ収集」の項⽬
• 「Splunk Cloud PlatformとSplunk Enterpriseの違い」セクション(特に、「インデクサー検出とインデクサー応答確認」の項⽬)

AWS Kinesis Data Firehoseの使⽤

AWSリージョンのSplunk Cloud Platformには、追加のデータ収集オプションがあります。AWS Kinesis Data Firehoseは、完全に管理されたスケーラブルなサーバーレスオプションで、各種のAWSサービスから直接Splunk Cloud Platformにデータをストリーミングするためのものです。お客様のSplunk Cloud Platform環境に対する設定、有効化、変換、データの送信は、お客様の責任となります。Kinesis Data Firehoseサービスを使⽤してデータを取り込む場合、AWS Kinesis Data Firehoseの有効化と設定、そしてこのサービスに関する料⾦のAWSへの⽀払いはお客様の責任となります。詳細は、『Splunk Add-on for Amazon Kinesis Firehose』マニュアルの「Splunk Cloud PlatformデプロイへのSplunk Add-on for Amazon Kinesis Firehoseのインストールと設定」を参照してください。

Edge Processorソリューションの使用

Edge Processorソリューションは、制御および設定がクラウドベースで⼀元的に管理されるSplunkフォワーダーの中継転送層を提供します。⼀部の使⽤事例において、転送前にデータを解析したり、イベントのソースやタイプなどの指標に基づいてデータを転送する必要があったりする場合には、Edge Processorソリューションをヘビーフォワーダーの代わりとして使⽤できる可能性があります。また、Edge Processorソリューションは、フィルタリング、マスキング、およびルーティングの機能も備えています。詳細は、「About the Edge Processor solution (Edge Processorソリューションについて)」を参照してください。

Ingest Processorの使⽤

Ingest Processorは、Splunk Cloud Platformデプロイ内で動作するデータ処理ソリューションです。Ingest Processorを使用すると、データフローの設定、データ形式の制御、変換ルールの適用、インデックス化前のログのメトリクス化、送信先へのルーティングを行うことができます。

このソリューションは、フォワーダーまたはHTTPイベントコレクター(HEC)を使用してデータをデプロイに取り込むSplunk Cloud Platformの管理者に最適です。

Ingest Processorは、Splunk Cloud Platform環境内に追加のインフラストラクチャを必要としないため、簡単にデプロイして利用することができます。また、組織のニーズに応じて、インフラストラクチャリソースをシームレスに拡張および調整します。さらに、中央のSplunk Cloudサービスを通じて、データ処理の設定管理やデータ取り込みトラフィックの監視を行うことも可能です。詳細は、「About Ingest Processor (Ingest Processorについて)」を参照してください。

データ収集に関する追加の情報

データ圧縮

フォワーダーとHTTPイベントコレクターは、TLSプロトコルでデータを送信する場合にデータを圧縮します。圧縮⽐はコンテンツによって異なりますが、⼀般的には8:1～12:1です。

送信中の暗号化

セキュリティを確保するため、送信中のデータはTLS 1.2+で暗号化されます。送信側と受信側は互いに認証を⾏い、HTTPベースのデータ収集ではトークンベースの認証によってセキュリティが確保されます。

Splunkハイブリッドソリューションでオンプレミスコンポーネントを使⽤する場合、オンプレミスコンポーネント間で転送されるデータが暗号化されるのは、接続が暗号化するように設定されている場合のみです。

IP許可リスト

機能固有のドキュメントで特段の注記がない限り、Admin Config Service (ACS)を使⽤して、データ収集元を許可済みのIPアドレスに制限できます。⾃分のSplunk Cloud PlatformリージョンでACSにアクセスできない場合は、Splunkにサポートチケットを申請してください。ACSの詳細は、「Splunk Cloud PlatformのIP許可リストの設定」を参照してください。

関連項⽬

Splunkのメンテナンスの責任

以下のセクションでは、Splunkがお客様の代わりに⾏うメンテナンスの責任とタスクについて説明します。

使⽤開始

Splunk Cloud Platformの契約開始時に、Splunk Cloud Platform環境へのアクセスや利用開始に必要な情報を記載した案内メールが送信されます。このメールには重要な情報が記載されていますので、お⼿元に保管しておいてください。

サポートされているタスクの補助

Splunk Cloud Platformでは、Splunk Webを介してユーザー、インデックス、およびAppの管理をカスタマイズできます。ただし、リアルタイムサーチやAWS Kinesis Data Firehoseデータ受信の有効化など、一部のSplunk Cloud Platform機能の有効化や設定変更は、Splunk側での手続きが必要となります。サポートチケットを申請すると、Splunkはお客様の代わりにこれらの機能を有効化します。お客様のご要望に応じたこれらの変更は、日程が確定した時点で、サポートケースに登録されているお客様のご連絡先宛てに通知されます。変更手続き中も、取り込みやサーチサービスは利⽤できますが、パフォーマンスが低下します。ほとんどの場合、ログインへの影響は10分以内です。このルーチンメンテナンスの開始時と終了時には、お客様のメールアドレスに通知が送付されます。

ソフトウェアのアップグレードと契約の拡張

Splunkは、Splunkが開始するサービス更新を通じて、Splunk Cloud PlatformとプレミアムApp契約について互換性のある最新バージョンを提供します。これらのアップグレードに伴うメンテナンスウィンドウは、Splunk Cloudメンテナンスポリシーに従って通知されます。

Splunkが開始するメンテナンスウィンドウについての次の作業情報に注意してください。

• メンテナンスウィンドウは、ACSとCMCで表⽰できます。『Admin Config Service』マニュアルの「Splunk Cloud Platformのメンテナンスウィンドウの表⽰」とSplunk Cloud Platform『管理』マニュアルの「Review upcoming and past maintenance windows (今後および過去のメンテナンスウィンドウの確認)」を参照してください。
• Splunkがサービス更新メンテナンスのために取るメンテナンスウィンドウは、1か⽉に2回までです。
• スケジュールされたメンテナンスウィンドウの72時間前までにリクエストがあった場合、Splunkは変更リクエストに対応するために商業的に合理的な努⼒をします。
• サービスアップデートメンテナンスを実施する際は、少なくとも14日前にSplunkからお客様側の運用担当者様にご連絡します。セキュリティおよびプラットフォームメンテナンスを実施する際は、少なくとも7日前にSplunkからお客様側の運用担当者様にご連絡します。
• Splunk Cloud Platformのバージョンアップグレードの開始時および完了時には、運用担当者様宛てにメールによる通知が送信されます。Splunkは、開始および完了に関するメール通知を配信するために合理的な努力を払います。その他のSplunkによる変更については、現在、メンテナンスの開始および完了に関する通知は行われていません。
• ご連絡の際には、サービスのパフォーマンス低下や利用停止の有無に加え、お客様側で実施が必要なデータ取り込みの仕組みやアプリケーションの更新についてもお知らせします。メンテナンス状況によっては、メンテナンスウィンドウの間にDynamic Data Self-Storageのデータエグレスが停⽌されます。
• サービス更新やセキュリティおよびプラットフォームメンテナンスのウィンドウが延長された場合、Splunkから延長についての通知があります。
• 緊急メンテナンスは、即時の対応が必要な状況で実施します。このような緊急メンテナンスウィンドウはまれであり、その性質上、計画できないことが予想されます。Splunkは、お客様の運⽤連絡先に通知を⾏うための商業的に合理的な努⼒をします。この場合の連絡においては、データの取り込みメカニズムまたはアプリケーションの更新など、お客様がとる必要のある対応の詳細をお伝えします。
• 変更凍結リクエストは、緊急メンテナンスまたはセキュリティおよびプラットフォームメンテナンスに対して⾏うことはできません。またSplunkは、それらのメンテナンスを実⾏するために、以前に承認した変更凍結リクエストを無効にする場合があります。
• 変更凍結リクエストは、過去12か月以内に一般提供が開始されたバージョンを利用している、お客様のSplunk Cloud PlatformおよびプレミアムApp環境に対してのみ検討されます。
• プラットフォームの健全性とセキュリティを確保するため、Splunk Cloud Platformでは、過去12か月以内にリリースされたバージョンに対してのみ、サービスの更新延期を適用します。

また、Splunkホスト環境に対するお客様の⽇次取り込みボリュームの増加、ストレージの追加、プレミアムApp契約や保存中の暗号化の有効化など、Splunkはお客様の代わりにSplunk Cloud Platformを強化します(該当する場合)。

ダウンタイムゼロメンテナンスでは、特定の作業がメンテナンスウィンドウを設定せずに実行されます。

• ダウンタイムゼロメンテナンスの作業はバックグラウンドで実行され、メンテナンスの進行中も、データ取り込み、ログイン、検索、UI、またはデータへのアクセスへの影響は最小限に抑えられます。
• Splunkのユーザーインターフェイス上には、一時的なエラーメッセージが表示される場合があります。
• ログインセッションは維持されます。
• サーチは、Splunkのサービス更新中も引き続き実行され、完了します。
• これらの作業については事前の通知はありません。変更が完了した際の履歴レコードはCMCで確認可能であり、ACSを通じて閲覧することができます。
• ダウンタイムゼロメンテナンスは、セキュリティおよびプラットフォームのメンテナンス、または緊急メンテナンスに分類される場合を除き、変更凍結の対象となります。

Splunk Cloud Platformのアップタイムとセキュリティの保証

Splunkでは、アップタイムと可⽤性を確保するために各Splunk Cloud Platform環境のステータスを継続的に監視しています。「モニタリング」セクションを参照してください。ログイン、データの取り込み、Splunk Webへのアクセス、サーチの実行可否など、さまざまな健全性やパフォーマンス指標を監視しています。Splunkでは、次のデータを保存します。

• アップタイムの確保やお客様のSplunk Cloud Platformのトラブルシューティングの補助に利⽤するため、健全性や使⽤状況の履歴データを30⽇間保存します。
• データの永続性を確保するために、お客様の取り込みデータと設定ファイルの日次バックアップを連続7⽇間保持します。なお、バックアップにはSplunkのみがアクセス可能であり、状況に応じてSplunkの裁量で活用される点にご留意ください。
• 保存中の暗号化契約が購⼊された場合、暗号化キーを保存します。「ストレージ」の「データ保持」のセクションを参照してください。

Splunkの管理者ロールとユーザーロール、そして独⽴系の第三者監査機関によるSplunk Cloud PlatformのSOC2タイプ2とISO 27001セキュリティ標準準拠の認定については、「ユーザーと認証」のセクションの情報も参照してください。

お客様のメンテナンスの責任

以下のセクションでは、お客様のメンテナンスの責任とタスクについて説明します。

運用連絡先の更新管理

ご利用のSplunk.comサポートポータルに登録されている運用連絡先を最新の状態に保ち、必要に応じて更新してください。ご利用のSplunk Cloud Platform環境でメンテナンスが実施される場合や、設定変更に関する注意喚起が必要な場合、またはパフォーマンスに影響するイベントが発生した場合には、運用連絡先へ通知されます。これらの連絡先は、予定されているメンテナンスウィンドウのアラートや、インシデントによってトリガーされたケースに関するメールの更新など、計画されているダウンタイムや予定外のダウンタイムに関する通知を受け取ります。

詳細は、「サービスの規約とポリシー」セクションの「Splunk Cloud Platformメンテナンスポリシー」を参照してください。

Splunk Cloud Platformドキュメントの確認

サービス更新メンテナンスを実施する際は14日以上前に、セキュリティおよびプラットフォームメンテナンスを実施する際は7日以上前に、Splunkからお客様側の運用担当者様にご連絡します。Splunk Cloud Platform環境とチームの準備を確実に整えるため、メンテナンスの前にSplunk Cloud Platformリリースノートの以下のセクションを確認してください。

• 新しい機能
• 既知の問題と修正済みの問題

ご利用のインスタンスでのメンテナンスに関するその他のご質問については、Splunkのアカウント担当者、営業担当者、またはSplunkサポートまでお問い合わせください。

Federated search for Splunk

Federated search for Splunk allows you to search datasets outside of your local Splunk platform deployment. From your local search head, federated search gives you a holistic view of datasets across multiple Splunk platform deployments. The table lists conditions and limitations that apply to federated search for Splunk. For more information, see About Federated Search for Splunk.

The table lists the conditions and limitations that apply to federated search for Splunk.

Federated search for Amazon S3

Federated search for Amazon S3 is a feature that enables you to search data in Amazon S3 without having to ingest that data into your Splunk Cloud Platform environment. When you use federated search for Amazon S3 you run searches utilizing AWS Glue Data Catalog tables that represent the data in your Amazon S3 buckets. For more information, see About Federated Search for Splunk.

Federated search for Amazon S3 is designed for low-frequency, ad-hoc search of historical data stored in Amazon S3 leveraging the benefits in terms of cost, compliance and scalability that this service provides.

Contact your Splunk sales representative to activate federated search for Amazon S3 on your Splunk Cloud Platform environment. When you do this you will acquire a data scan entitlement that is based on the volume of Amazon S3 data on disk (in terabytes) you are projected to scan over the upcoming year to date. You can track your usage against your entitlement through a Federated Search for Amazon S3 dashboard in the Cloud Monitoring Console.

To use federated search for Amazon S3, you must have the following:

• Your Splunk Cloud Platform environment is in a region that supports Federated Search for Amazon S3. Review the Available regions and region differences section for more details.
• Existing Amazon S3 buckets with data that you want to search. Federated Search for Amazon S3 supports data originating from Edge Processors, Ingest Actions, and Ingest Processor. Federated Search for Amazon S3 does not currently support reading data from Dynamic Data Self-Storage or Dynamic Data Active Archive format.
• Permissions to modify access policies for Amazon S3 buckets and AWS Glue Data Catalog tables and databases in your AWS account.

Federated Analytics for Amazon Security Lake

Federated Analytics for Amazon Security Lake lets you search data from your Amazon Security Lake from your Splunk Cloud Platform deployment without needing to ingest or index it first. High-value data can be brought into Splunk for Data Lake indexing. Federated search for Amazon Security Lake is available only to users of Splunk Cloud Platform on AWS and is an optional Add-On subscription.

Hybrid search

App security

All Splunk apps hosted on Splunk Cloud Platform by Splunk are examined by Splunk engineers to ensure that they comply with the Vet apps and add-ons for Splunk Cloud Platform. Splunk Cloud Platform vetting provides a set of best practices for app developers. For details about how to submit an app for evaluation for Splunk Cloud Platform readiness, see the Splunk Developer web page.

Data encryption

All data in transit to and from Splunk Cloud Platform is TLS 1.2+ encrypted. To encrypt data at rest, you can purchase AES 256-bit encryption for Splunk-hosted environments for an additional charge. Keys are rotated regularly and monitored continuously.

Data handling

You can store your data in one of the available AWS, Azure, or Google Cloud regions regions. See Available regions and region differences for global regions supported in the Splunk Cloud Platform service.

Data is kept in the region you choose. If you need to store your data in more than one region, you can purchase multiple subscriptions. Data is retained in Splunk Cloud Platform according to the volumes, durations, and index configurations you set. Expired data is deleted based on your pre-determined schedule.

For the purposes of disaster recovery, your configuration and recently-ingested data is backed up on a rolling seven-day window. If you require your ingested data to be moved into your control before the termination of your subscription, this is accomplished through a Splunk Professional Services engagement. Some data can be moved into your control by enabling Dynamic Data Self-Storage to export your aged data to your Amazon S3 or Google Cloud Storage account in the same region. Note that Dynamic Data Self-Storage does not export your configuration data. Depending on the amount of data and the work involved, we may charge for this service. For more information on Splunk Cloud Platform data management, see Review Splunk Cloud Platform data policies and also Manage Splunk Cloud Platform indexes in the Splunk Cloud Platform Admin Manual.

Instance security

Every Splunk Cloud Platform deployment runs in a secured environment on a stable operating system and in a network that is hardened to industry standards using a default-deny firewall policy, which permits access only to specific IP addresses and services. Your deployment is regularly scanned for host- and application-level threats.

Isolation of data and service

In the cloud, your data is logically isolated from other customers' data, so your performance and data integrity cannot be affected by other customers who are using the Splunk Cloud Platform service.

Security controls and background screening

Splunk security controls are described in our most recent Service Organization Control II, Type II Report (SOC 2/Type 2 Report). For more information about regions for which Splunk does not have SOC2 controls in place, see the Splunk Cloud Platform Security Addendum. Splunk conducts criminal background checks on its employees prior to hire, as permitted by law.

User authentication and access

You can configure authentication using Lightweight Directory Access Protocol (LDAP), Active Directory (AD), and single sign-on using any SAML v2 identity provider. To control what your Splunk Cloud Platform users can do, you assign them roles that have a defined set of specific capabilities. Splunk Cloud Platform enables you to configure account policies that require unique user names, minimum password length, and regular password resets with supported SAML v2 identify providers and LDAP. To enable multifactor authentication, customers must configure a SAML v2 identity provider that supports multifactor authentication. Only SHA-256 signatures in the SAML message between your IdP and Splunk Cloud Platform are supported.

If authentication and access methods for a feature differ from the above, it will be documented in the feature-specific Documentation.

See also

関連項⽬

Platform service limits (hard limits)

You can use this list as guidance to ensure the best Splunk Cloud Platform experience. You are unable to exceed these hard service limits.

Tested and recommended service limits (soft limits)

You can use this list as guidance to ensure the best Splunk Cloud Platform experience. If you exceed these soft service limits and have a degraded experience, Splunk may recommend you reduce to below the tested or recommended limit as part of service remediation.

Data retention

When you send data to Splunk Cloud Platform, it is stored in indexes and you can self-manage your Splunk Cloud Platform indexes settings using the Indexes page in Splunk Web. Splunk Cloud Platform retains data based on index settings that enable you to specify when data is to be deleted. To configure different data retention settings for different sources of data, store the data in separate indexes according to the desired retention policy. You can configure different data retention policies for individual indexes according to your auditing and compliance requirements.

Each index lets you specify the maximum age of events in the Index (specified in the Retention (days) field on the Indexes page) that the service uses to determine when to delete data. When the index reaches the specified maximum size or events reach the specified maximum age, the oldest data is deleted. When data is deleted from the index, it is no longer searchable by Splunk Cloud Platform.

The following are the types of storage available in a Splunk Cloud Platform subscription:

• Dynamic Data Active Searchable (DDAS) is used for searching ingested data. DDAS is also commonly known as searchable storage. You can optionally purchase additional DDAS in 500 GB increments.
• Dynamic Data Active Archive (DDAA) is used as a long term storage and data in DDAA can be restored to DDAS to be searched. You can optionally purchase additional DDAA in 500 GB increments.

For both DDAS and DDAA, you can choose to have your data encrypted at rest using AES 256-bit encryption for an additional charge. If you choose encryption at rest, Splunk manages the encryption keys on your behalf by default. If available in your region, you have the option to manage the encryption keys instead.

You can review your storage consumption in the Cloud Monitoring Console app included in your Splunk Cloud Platform environment. The app provides information such as the amount of data stored and the number of days of retention for each index.

For more information about the data that Splunk retains and maintains on your behalf, see the Ensures Splunk Cloud Platform uptime and security section in Splunk maintenance responsibilities.

Dynamic Data Active Searchable (DDAS)

DDAS in your Splunk Cloud Platform environment should be sized based on the volume of uncompressed data that you want to index on a daily basis. For workload-based subscriptions, you purchase DDAS based on your data retention requirements that provide you the flexibility to tailor the variability in your use case. For example, if your forecasted daily volume of uncompressed data is 1 TB and your searchable retention need is 365 days, your Splunk Cloud Platform environment should be sized to have 365 TB of DDAS. Refer to the Splunk General Terms for Splunk's policy for Overages. Ingest-based subscriptions include sufficient DDAS to allow you to store up to 90 days of your uncompressed data. For example, if your daily volume of uncompressed data is 100 GB, your Splunk Cloud Platform environment will have 9000 GB (9 TB) of DDAS. Note the following:

• If you ingested far more data than your initial estimate and thus exceeded your entitled DDAS capacity, the Splunk Cloud Platform service elastically expands the amount of DDAS to retain your data per your retention settings.
• While DDAS is elastically expanded to ensure your data does not prematurely age out, consistently over ingesting beyond estimated may impact search performance.

Dynamic Data Active Archive (DDAA)

If you require a lower cost option for long term storage of data, you can optionally augment Splunk Cloud Platform with DDAA. As data ages from DDAS based on your index retention setting, the aged data is automatically moved to DDAA before deletion. Data remains in DDAA until the DDAA retention setting that you specify expires.

Your DDAA subscription enables you to perform restores, subject to the amount of DDAS you have purchased as part of your Splunk Cloud Platform subscription. An additional 10% of DDAS is included with your DDAA subscription to assist with restores. The 10% is calculated based on the total DDAS amount in your subscription. For example, a workload-based subscription that has a 10 TB DDAS entitlement will have an additional 1 TB of DDAS added with a DDAA subscription, effectively increasing the DDAS entitlement to 11 TB. Note that this additional 1 TB should be considered as reserved for DDAA restores, as any restore volumes that result in surpassing the DDAS entitlement may incur a true-up cost.

Note the following:

• Restored DDAA data is typically ready to search within 24 hours after a restoration request and remains searchable for up to 30 days.
• Large amounts of DDAA data restore can take beyond 24 hours to complete.
• Multiple restores that overlap within a 30-day period will accrue against the additional 10% of searchable storage included with your DDAA subscription.
• Refer to the Splunk General Terms for Splunk's policy for Overages.

Dynamic Data Self-Storage (DDSS)

You can also export your aged data from Splunk Cloud Platform. If you enable Dynamic Data Self-Storage (DDSS) to export your aged ingested data, the oldest data is moved to your Amazon S3 or Google Cloud Storage account in the same region as your Splunk Cloud Platform deployment before it is deleted from the index.

Note the following:

• You are responsible for payments for your use of Amazon S3 or Google Cloud Storage.
• Aged data is exported unencrypted to your Amazon S3 or Google Cloud Storage account.
• DDSS data stored in S3 cannot be searched by Federated Search for Amazon S3 at this moment.

See also

Workload-based subscription

This subscription is based on the resource capacity consumed rather than the data volume ingested. Your subscription entitles you to the purchased workload resources and this subscription does not meter ingestion. You can increase ingest and/or search load and operate the service to your desired performance objective. As necessary, you can purchase additional resource capacity to increase ingest and search load or to improve performance. You purchase units of storage blocks based on your data retention requirements for your workload-based subscription. If you ingested far more data than your initial estimate and thus exceeded your purchased storage capacity, the Splunk Cloud Platform service elastically expands the amount of storage to retain your data per your retention settings. Refer to the Splunk General Terms for Splunk's policy for Overages. The Cloud Monitoring Console and Splunk Web provide you with the total amount of data retained at any given time.

Ingest-based subscription

By exception, you may be on an ingest-based subscription. An ingest-based subscription for Splunk Cloud Platform is based on the volume of uncompressed data that you want to index on a daily basis. The subscription pricing also includes a fixed amount of data storage. If you ingest more data than your entitlement and thus exceed your storage entitlement, the Splunk Cloud Platform service elastically expands the amount of storage to retain your data per your retention settings. Refer to the Splunk General Terms for Splunk's policy for Overages. The Cloud Monitoring Console and Splunk Web provide you with the total amount of data retained at any given time.

Data policies

Splunk Cloud Platform administers your data according to the following policies:

• Your workload-based subscription entitles you to the purchased workload resources and this subscription does not meter ingestion.
• Your Splunk Cloud Platform ingest-based subscription governs how much data you can load into your Splunk Cloud Platform deployment per day (GMT). You can exceed your ingest-based subscription daily index volume a maximum of five times in a calendar month. If you exceed your daily limit more than five times in a calendar month, your Splunk sales representative may work with you to help you reduce your usage to stay within the purchased limit or to purchase the necessary increase. If you are unable or unwilling to abide by the applicable usage limit, you will pay any invoice for excess usage in accordance with your Terms of Service. If you consistently exceed your ingest-based subscription limit, contact Splunk Sales to do a benchmark assessment to determine your volume needs and purchase an appropriate plan to handle your volume.

To see current and past daily data ingestion information in Splunk Web, use the Cloud Monitoring Console app. For more information, see Locate the Cloud Monitoring Console and Use the License Usage dashboards. Splunk recommends you set up alerts in the system to monitor your license usage.

Subscription expansions, renewals, and terminations

You can expand aspects of your Splunk Cloud Platform subscription anytime during the term of the subscription to meet your business needs. You can optionally add subscriptions to do the following:

• Increase your workload-based or ingest-based subscription level.
• Add additional storage capacity in 500 GB increments to store more data.
• Add encryption services to Splunk-hosted environments to help maintain the privacy of data at rest.
• Add a HIPAA or PCI DSS cloud environment to assist you with meeting your compliance needs.
• Add new use cases for Splunk Cloud Platform with Splunk premium solutions such as Enterprise Security (ES) and IT Service Intelligence (ITSI). With workload-based subscriptions, the unit of measurement is in SVC for both entitlements. With ingest-based subscriptions, the unit of measurement is in GB for both entitlements.

You will receive renewal notifications starting 60 days prior to the end date of your current subscription term. For more information on subscription renewals, contact your Splunk sales representative. If your Splunk Cloud Platform subscription expires and no temporary extension is submitted on your behalf by your Splunk sales representative, it is considered terminated. The policy for terminated Splunk Cloud Platform subscriptions are the following:

• Your ability to perform searches stops immediately.
• Your ability to ingest data stops 30 days following termination.
• Your data is deleted 30 days following termination.

If you require your ingested data to be moved into your control before the termination of your subscription, this is accomplished through a Splunk Professional Services engagement. Some data can be moved into your control by enabling Dynamic Data Self-Storage to export your aged data to your Amazon S3 or Google Cloud Storage account in the same region. Note that Dynamic Data Self-Storage does not export your configuration data. If you choose to use Dynamic Data Self-Storage to export your aged ingested data, you must do so prior to termination of your subscription. You are responsible for AWS or Google Cloud Storage charges you incur for your use of Amazon S3 or Google Cloud Storage.

Current Splunk Cloud Platform and Premium App versions

Splunk determines which versions of Splunk Cloud Platform and Premium Apps to make available to Splunk Cloud Platform subscribers. Splunk adopts the release that has the most benefits for customers as quickly as possible. The table lists the current versions for Splunk Cloud Platform and Premium App subscriptions.

Splunk Cloud Platform versions have the following release numbering format that is unique and not available for Splunk Enterprise: [Major Release].[Minor Release]. [Release Date]

Supported forwarder versions

The following are the supported forwarder versions for Splunk Cloud Platform. This information is applicable to universal and heavy forwarders that are communicating directly to Splunk Cloud Platform. If you have deployed an intermediate forwarder tier communicating directly to Splunk Cloud Platform, the following information applies to the forwarders in the intermediate tier instead of the forwarders indirectly connected. If you are unable to upgrade forwarders that communicate directly to Splunk Cloud Platform, you accept the risk of continuing to use forwarder versions that have reached their end of support date.

* Each minor version of Splunk Universal Forwarder is Supported from release for a total of 60 months. During the first 24 months from release of each version, the targeted Support response times will be determined by issue severity and priority. For the subsequent 36 months, the targeted Support response times will be limited to the P3 level.

Supported Python versions

The table lists the supported Python interpreters for Splunk Cloud Platform. For more information on Python 2.x deprecation and support on Splunk Cloud Platform, see Python 3 migration with the Splunk platform.

関連項⽬

関連項⽬