じゅのぶろ

社内SEが自宅でSOC/CSIRTするために色々頑張っていきたいブログ 画像が見れない場合はjavascriptを有効にするかデスクトップからご覧下さい。

Splunk Upgradeしてみた

splunk

Splunkを起動したら右上のメッセージに新しいバージョンの情報が出ていた。
現在のバージョンは7.3.0で新しいバージョンは7.3.1のようだ。
設定メニューにアップデートの通知がくる。

　
　
前回の記事でAppを作って設定をバックアップしたのでアップデートしてみることにしました。
※アップデートに伴いインストール済みのAppの互換性がなくなる可能性がありますので、自身の責任でアップグレードを実施してください。
jnox.hatenablog.com

アップデートではなくアップグレードと呼ぶみたいですね。

docs.splunk.com

アップグレード手順

  1. 自身のインスタンスタイプを把握する
    シングルインスタンス、クラスタ環境によって手順が変わるようです。
    私はシングルインスタンスで使っています。
    　
  2. 設定/インデクサのバックアップ
    自宅Splunkなのでデータが消えたらまた取れば良いことにして設定のみバックアップすることとします。
    　
  3. Splunkのアップグレード
    1. アップグレード先バージョンのSplunkインストーラの入手
      私の場合7.3.1のインストーラです。インストール時と同じ.debにしました。
      入手方法がわからない方は前回の記事を参考にしてみてください。
    2. 現在稼働しているSplunkの停止
      /opt/splunk/bin/splunk stop を実行
    3. Splunkのインストール
      $dpkg -i splunk-7.3.1-bd63e13aa157-linux-2.6-amd64.debを実行
$dpkg -i splunk-7.3.1-bd63e13aa157-linux-2.6-amd64.deb 
(Reading database ... 167526 files and directories currently installed.)
Preparing to unpack splunk-7.3.1-bd63e13aa157-linux-2.6-amd64.deb ...
This looks like an upgrade of an existing Splunk Server. Attempting to stop the installed Splunk Server...
splunkd is not running.
Unpacking splunk (7.3.1) over (7.3.0) ...
Setting up splunk (7.3.1) ...
complete

すでに7.3.0のファイルが存在するので、インストール時と同じコマンドを実行すると自動的にUpgradeだと認識されます。

アップグレードの確認

  1. Splunkの起動
    /opt/splunk/bin/splunk start を実行
    インストール時と同様にライセンスアグリーメントが表示されます。
    また、起動前に設定のプレビューが必要な場合は次の選択肢でnを選択してください。
    yを選択するとすぐにアップグレードと起動が行われます。
    　
    以下はnを選択した場合です。
    コンフィグが表示された後、「Stopping because you requested a preview ~~」とメッセージが表示されSplunkの起動はされません。
Do you agree with this license? [y/n]: y
Perform migration and upgrade without previewing configuration changes? [y/n] n

~~省略~~

Stopping because you requested a preview of the configuration files to be
migrated.  Migration and upgrade will not continue until the configuration files
have actually been migrated.

To proceed, run 'splunk start' again and choose 'y'.

コンフィグ確認後、起動するとメッセージが出てきました。
Python2系から3系に移行するよう促すメッセージ

2020年1月にPython2.7のサポートが切れるのでSplunkもPython3.7をサポートするように移行するという感じでしょうか。
現在Python2系を使っているApp等で影響が出る可能性があるようなことが書いてあります。
管理者、開発者の方は要注意ですね。

おわりに

Splunkは無事にアップグレードでき、データも問題ないようです。
簡単にアップグレードできるので助かります。