安装 Splunk：环境要求、单实例安装步骤、初始配置与 License 管理

好，到了动手装 Splunk 的时刻了。我把这一步放在课程前面，说白了——没有 Splunk 环境，后面所有采集、解析、可视化都是纸上谈兵。这一章咱们把环境要求、安装流程、初始配置和 License 管理一次性讲清楚。

我个人习惯在正式装之前先跑一遍 preflight check，确认操作系统、内存、磁盘都达标。为什么不先装再发现问题？因为我在项目里吃过亏——有一次给客户部署，机器是 CentOS 6，结果 Splunk 8 要求 glibc 2.17 以上，硬是折腾了大半天才搞定。所以，先把环境要求看清，省得后面后悔。

1. 环境要求

Splunk 虽然是个企业级软件，但单实例部署门槛并不高。官方推荐的生产环境要求如下表：

还有一个重点：端口。Splunk Web 默认用 8000，管理端口 8089，索引接收端口 9997。你想想看，如果服务器上防火墙没放开 8000，你怎么打开网页？我建议一开始就规划好端口清单。

2. 单实例安装步骤

安装过程其实就四步：下载 → 解压 → 启动 → 访问。我拿 Linux 环境举例，Windows 类似，只是安装包是 exe/msi。

1. 下载 Splunk Enterprise
   从 Splunk 官网下载 .tgz 包，或者用 wget 直接拉到服务器。
2. 解压安装包
   解压到 /opt/splunk 目录：
   

   cd /tmp
   wget -O splunk.tgz 'https://download.splunk.com/products/splunk/releases/9.2.2/linux/splunk-9.2.2-xxxxxx-Linux-x86_64.tgz'
   tar -zxvf splunk.tgz -C /opt/
   

3. 启动 Splunk
   第一次启动要接受 License，并且设置管理员密码：
   

   /opt/splunk/bin/splunk start --accept-license
   

   启动过程中会提示创建 admin 账号。我习惯先把密码设成强密码，然后后面再改。
4. 访问 Web 界面
   浏览器打开 http://<服务器IP>:8000，进入初始配置向导。

3. 初始配置

Splunk 第一次启动后，Web 界面会引导你完成几项关键配置。下面是我认为最重要的几项：

• 创建管理员账号 —— 密码必须大写+小写+数字+特殊字符，长度至少 8 位。别偷懒，我之前见过有人设 "admin123" 结果被扫出来，直接丢了权限。
• 接受 License —— 默认是 14 天试用，之后需要上传有效的 License 文件。免费 License 每天 500 MB 数据量，够学习了。
• 配置索引路径 —— 数据存储位置，建议单独挂载一个大分区，别放在系统盘。
• 开启 SSL —— 生产环境必须开启 HTTPS，否则敏感数据在 HTTP 上是明文传输。这个我后面章节会细讲证书配置。

配置完成后，你会看到 Splunk 的主界面：搜索栏、数据摘要、报告入口。这时候还没数据，别急，后面我们会一步步把 Secrets 审计日志喂进去。

4. License 管理

Splunk 的 License 按每天索引的数据量（MB/GB）计算，不是按用户数或节点数。免费 License 限制是 500 MB/天。怎么查看当前用量？

1. 在 Web 界面点击 设置 → 授权。
2. 可以看到已安装的 License 列表、过期日期、每日使用量。
3. 如果超出限额，Splunk 会停止索引新数据，但搜索已有数据不受影响。

上传新 License 很简单：在 License 管理页面点击“安装授权文件”，选 .lic 文件即可。我建议保留一份老的 License 作为备份，因为有时版本升级后旧 License 不兼容。

知识体系速览

我把本章核心逻辑画成一张图，方便你对照着看：

图里的每个环节我都对应着讲过了。你跟着走一遍，半小时内就能跑起一个能用的 Splunk 实例。下一件事？就是往里面灌 Secrets 审计日志了。