atunnecliffe/splunk

Splunk 镜像文档

镜像概述和主要用途

这是Splunk的Dockerfile，当前运行版本9.0.3（[***] Linux构建，支持OpenShift和unRAID平台，旨在快速轻松部署Splunk Enterprise。默认管理员密码为changeme2019，兼容Splunk 7.1.0及更高版本。容器可能占用较大存储空间，建议至少将/splunkdata配置为卷以缓解存储压力。

核心功能和特性

• 基于Alpine Linux，轻量高效
• 支持OpenShift和unRAID环境部署
• 快速部署Splunk Enterprise单实例
• 开放多个关键端口：Web界面(8000)、数据摄入(9997)、管理API(8089)等
• 可通过环境变量自定义管理员密码和启动参数
• 支持持久化卷配置，确保索引数据和应用配置不丢失

使用场景和适用范围

• 快速部署单节点Splunk进行日志分析
• 需要持久化存储索引数据和应用配置的场景
• 在OpenShift或unRAID平台中部署Splunk
• 需要自定义Splunk版本和管理员密码的场景

使用方法和配置说明

基本使用示例

单实例（无持久化）

bash
docker run -d -p 8000:8000 -p 8089:8089 -p 9997:9997 --name splunk atunnecliffe/splunk

unRAID环境下带持久化（索引数据和应用配置）

bash
docker run -d -p 8000:8000 -p 8089:8089 -p 9997:9997 -v '/mnt/user/appdata/splunk/splunkdata':'/splunkdata':'rw' -v '/mnt/user/appdata/splunk/etc/apps':'/opt/splunk/etc/apps':'rw' --name splunk atunnecliffe/splunk

安装旧版本（7.2.6）并修改管理员密码

bash
docker run -d -p 8000:8000 -p 8089:8089 -p 9997:9997 -e ADMIN_PASSWORD="mynewpassword" -e DOWNLOAD_URL="https://www.splunk.com/page/download_track?file=7.2.6/linux/splunk-7.2.6-c0bf0f679ce9-Linux-x86_64.tgz&ac=&wget=true&name=wget&platform=Linux&architecture=x86_64&version=7.2.6&product=splunk&typed=release" -p 8000:8000 --name splunk atunnecliffe/splunk

配置参数

环境变量

• SPLUNK_CLI_ARGS
  Splunk启动参数，默认值为--accept-license --no-prompt。这两个参数是必需的，缺少会导致Splunk等待用户输入而无法自动启动。

• ADMIN_PASSWORD
  设置默认"admin"用户密码，默认值为changeme2019。容器运行后可通过Web界面修改。

端口说明

• 8000：HTTP Web界面端口，使用admin用户名和ADMIN_PASSWORD（默认changeme2019）登录
• 9997：SplunkTCP数据流端口，接收来自Splunk Forwarders的索引数据
• 8089：HTTPS管理API端口，用于外部API访问（如部署服务器功能）
• 8088：HTTP事件收集器默认端口，接收Splunk HEC事件（如Splunk Stream发送的事件）
• 514：默认Syslog端口，用于直接接收syslog数据（非推荐方式，推荐通过syslog-ng等工具监控文件）

卷配置

• /splunkdata：包含Splunk索引数据，通过gosplunk.sh脚本中splunk-launch.conf的SPLUNK_DB指令配置
• /opt/splunk/etc/apps：包含Splunk应用和大部分GUI自定义配置

如何重置试用许可证

1. 从磁盘删除所有默认索引
2. 从卷中删除所有默认应用
3. 删除Docker镜像并重新下载

对于unRAID用户，可在:latest和版本分支（如:8.0.2）之间切换以强制重新下载基础镜像。8.0.0及以上版本均提供对应的版本分支。

注：可能无需执行所有步骤，但以上方法经测试可稳定工作。

已知问题

问题：当$SPLUNK_HOME/etc/apps目录作为卷挂载时，可能无法运行包含二进制模块化输入的应用（如Splunk_TA_Stream），但可执行shell脚本不受影响。

原因：Docker默认禁用SYS_RAWIO权限作为安全措施。

解决方法：

• 以特权模式运行容器：--privileged（unRAID用户可在容器更新界面勾选相应选项）
• 仅挂载应用的/local子目录