先了解这张认证
Splunk Enterprise Certified Admin（SPLK-1003）是 Splunk 认证体系里唯一真正面向"平台运维"的中级认证 — 它和 SPLK-1002 是同一层级的两个分支：1002 走 SPL/分析方向，1003 走部署/管理方向。官方硬性要求必须先通过 SPLK-1002 才能报考 SPLK-1003（不是建议，是 schedule 时系统会拦），这点是 2024 年改版后的新规则，之前可以直接考。
考试形式：63 道题，57 分钟，70% 通过，费用 130 美元（Pearson VUE，可线上监考）。考试有效期 3 年。这张证的题目密度相当高，平均不到 55 秒一题，但题目本身比 1002 短，多是配置文件场景题和组件角色判断题。
考点核心是 4 个领域：(1) 配置文件体系 — inputs.conf / outputs.conf / props.conf / transforms.conf / indexes.conf 的字段语法和优先级合并规则（system/local > apps/local > apps/default > system/default，这个顺序必须背死）；(2) Forwarder 部署 — Universal Forwarder 和 Heavy Forwarder 的能力差异、Deployment Server 通过 serverclass.conf 推送 deployment app 的机制；(3) 索引生命周期 — Hot/Warm/Cold/Frozen/Thawed 各阶段的存储路径、转换条件、frozenTimePeriodInSecs 和 maxTotalDataSizeMB 优先级；(4) 用户认证与许可证 — LDAP/SAML 集成、role inheritance、License Master 违规处理。
2024 年 Cisco 完成 280 亿美元收购 Splunk 后，Splunk Enterprise 自管部署在大型金融、电信、政府客户里依然是 SIEM/日志平台的事实标准，企业不会短期内迁走 — 这意味着 SPLK-1003 在未来 3-5 年内对已经在 Splunk shop的运维人员仍然有实打实的薪资溢价。但 Cisco 在主推 Splunk Cloud + Cisco XDR 集成，新客户上 SaaS 比例越来越高，纯自管 Splunk 的运维岗位长期会被压缩。
一句话判断：你或你公司有 Splunk Enterprise 的自管或混合部署 — 这张证考；纯 Splunk Cloud 的公司或者非 Splunk 栈 — 别浪费时间。
考试档案
- 考试代码
- SPLK-1003
- 发证机构
- 其他
- 题型
- single-choice / multiple-choice
- 考试语言
- English
- 证书有效期
- 3 年
你会学到的技能
学完能做什么
- 自信通过 Splunk Enterprise Certified Admin SPLK-1003 认证
- 掌握 Splunk 配置文件体系和优先级合并规则
- 能够独立部署和管理分布式 Splunk 环境
- 具备向 Splunk Enterprise Certified Architect（SPLK-2002）进阶的知识基础
适合这样的你
- Splunk 平台管理员，负责安装配置和日常运维管理
- IT 基础设施工程师，负责 Splunk 环境的维护和优化
- 系统管理员，需要掌握 Splunk 分布式架构管理
- 已持有 SPLK-1001 并希望向管理方向发展的工程师
开始前需要什么
- 已通过 SPLK-1001 Splunk Core Certified User 认证（强烈建议）
- 6-12 个月 Splunk 管理员实际工作经验
- 熟悉 Linux 系统管理和基本网络配置
- 了解日志管理和基础配置文件编辑
这些情况建议先考虑其他路径
- 公司用 Splunk Cloud 而不是自管 Splunk Enterprise — 70% 考点（indexes.conf、deployment server、cluster 管理）在 SaaS 环境里都被托管了，用不到
- SOC 分析师 / Threat Hunter / 数据分析方向 — 你需要的是 SPLK-1002 高级 SPL，1003 的运维知识对分析工作零帮助
- 不在 Splunk 栈的公司 — Splunk 配置文件体系和 Deployment 机制和别的 SIEM/日志平台完全不通用，跳槽不能迁移
- 没有 Linux 基础和实际 Splunk 运维经验的纯小白 — 1003 假设你已经熟悉 Linux 和分布式系统，纯背书必挂
一步一步，准备好考试
安排你的备考
- 课程学习时长
- 33h
- 有相关实操经验
- 4-6 周
- 从基础开始
- 8-12 周
- 建议日投入
- 1-2h
备考支持
- 175 道练习题，覆盖 7 个官方管理员考试领域
- 重点强化：配置文件优先级、索引数据生命周期管理
- AI 智能辅导，重点覆盖 props.conf/transforms.conf 易混淆配置
- 模拟 56 题 / 60 分钟真实管理员考试节奏
- 详细中文解析，结合实际运维场景说明配置用途
1. 第一阶段：确认 SPLK-1002 已过 + 搭分布式实验环境（3-5 天）
1002 是硬性前置，没过先去考。环境必须搭"分布式"，不能只装单机 — 因为 1003 的核心就是分布式架构。最低配置：3 台 Linux VM（4G 内存即可），一台装 Splunk Enterprise 做 Indexer + License Master，一台装 Splunk Enterprise 做 Search Head + Deployment Server，一台装 Universal Forwarder。Splunk Enterprise 用 Free License（每天 500MB 永久免费）。如果机器不够也可以用 Docker compose 起 splunk/splunk 镜像 + splunk/universalforwarder 镜像，官方都有现成的。这一步如果跳过，后面所有的配置题都是死记硬背 — 必死。
2. 第二阶段：刷 Splunk Enterprise System Administration + Data Administration 两门官方课（2-3 周）
Splunk Training 上这两门课直接对应 1003 考纲，每门约 12 小时，目前需要付费但很多公司账号有免费名额，可以先问 IT。System Administration 重点：Splunk 索引架构、用户和角色管理、authentication（LDAP/SAML/Native）、license 管理、监控 _internal 索引。Data Administration 重点：data inputs（monitor/tcp/udp/scripted）、forwarder 配置、props.conf 时间戳和行合并、transforms.conf 字段提取和路由、CIM data normalization。每看完一节立刻在自己的 3 节点环境里复现 — 比如学到 deployment server 就立刻配一个 serverclass.conf 把 app 推到 forwarder 上，看 splunkd.log 确认 phone home 成功。
3. 第三阶段：配置文件深度训练 + btool 实战（2-3 周）
这是 1003 备考的核心。具体任务：(1) 把 $SPLUNK_HOME/etc/system/default 下的 inputs.conf、outputs.conf、props.conf、transforms.conf、indexes.conf、server.conf、authorize.conf 这 7 个文件通读一遍，搞清楚每个 stanza 的 default 值；(2) 自己写一个 monitor input + 自定义 sourcetype + props.conf 时间戳提取（DATETIME_CONFIG/TIME_FORMAT/MAX_TIMESTAMP_LOOKAHEAD）+ transforms.conf REGEX 提取字段的完整流程；(3) 用 splunk btool inputs list --debug 看配置合并结果，理解每一行配置来自哪个文件 — btool 是考试隐藏的核心工具，会有 2-3 道题问 "用什么命令能看到当前生效的配置"；(4) 创建一个自定义 index，配置 frozenTimePeriodInSecs=2592000、maxTotalDataSizeMB=10000、coldToFrozenDir=/data/frozen，然后手动测试数据从 hot → warm → cold → frozen 的转换；(5) 完整配一遍 Deployment Server：写 serverclass.conf 把不同 deployment app 推到不同 forwarder，看 phone home 周期。这些做完才算真的会 Admin。
4. 第四阶段：分布式 + 用户权限 + 模考（1-2 周）
分布式：搞清楚 Search Head 添加 Search Peer 的命令（splunk add search-server）和 Deployment Server 管理 Forwarder 的区别 — 这俩经常被新手混淆，一定要写一个对比表。Indexer Cluster 的 Replication Factor 和 Search Factor 是必考点（RF 决定数据副本数，SF 决定可搜索副本数，SF <= RF）。用户权限：admin / power / user 默认 capability 差异、role inheritance、srchIndexesAllowed 限制角色可搜索的索引。最后一周每天做一套模考，JR Academy 题库刷 2 遍 + Splunk 官方 sample test。错题本必做，重点关注：props vs transforms 的职责边界（props 配置 parsing 阶段要做什么，transforms 配置具体怎么做）、UF vs HF 选型（带 parsing 需求的场景必须 HF）、Deployment Server vs Indexer Cluster Master vs SHC Deployer（三个东西管的是不同对象）。模考稳定 80% 以上再约考试。
这张认证的职业价值
Splunk Admin 是 Splunk 生态里最贵的岗位之一
在美国市场，Splunk Administrator / Splunk Engineer 的中位薪资比通用 SIEM Engineer 高 15-25%，原因很简单：Splunk 自管部署的运维门槛比 Datadog/Elastic 高得多 — 配置文件层级、indexer cluster 的 replication factor / search factor、deployment server 的 serverclass 推送、SHC（Search Head Cluster）的 captain 选举 — 这些东西没有 1-2 年实战经验做不下来。市场上能熟练做 Splunk Enterprise 自管运维的人本来就少，所以薪资被顶得很高。澳洲四大行（CBA、NAB、Westpac、ANZ）和大型电信（Telstra、Optus）的 Splunk Admin 岗位 base 普遍在 130-160k AUD，加上 super 和 bonus 接近 175k。
谁最该考
- 已经在 Splunk shop 做运维 / SOC 工程的人：你日常已经在改 inputs.conf、维护 deployment app、处理 license 告警 — 这张证就是给你日常工作的官方背书，加薪和升职谈判时是硬筹码。
- 从 Linux SysAdmin / DevOps 转型 Observability 平台工程师：Splunk Admin 的技能栈（Linux + 配置管理 + 分布式系统）和 SRE 高度重合，是 SysAdmin 进入高薪 SIEM/Observability 赛道的最短路径。
- MSP / Splunk 合作伙伴的实施工程师：Splunk Partner Program 要求合作伙伴公司维持一定数量的 Certified Admin，挂证 + 实施费一年可以多赚不少。
谁不应该考
- 公司用 Splunk Cloud（SaaS）而不是自管 Enterprise：Splunk Cloud 把 indexer / forwarder / 索引管理这些都托管了，用户根本碰不到 indexes.conf 和 deployment server，1003 的 70% 知识用不到。这种公司的 admin 岗位反而更看重 SPL（1002）。
- SOC 分析师 / Threat Hunter：你需要的是 SPLK-1002（高级 SPL）和 SPLK-1004，不是 1003。1003 的配置文件知识对分析工作毫无帮助。
- 不在 Splunk 栈的公司：Splunk 的配置文件结构、deployment 机制和别的 SIEM（QRadar / Sentinel / Elastic）完全不通用，跳槽没有迁移价值。
Cisco 收购后的薪资观察：2024-2025 年 Cisco 完成整合后，部分 Splunk Professional Services 团队被合并到 Cisco Customer Experience（CX），这部分人的薪资体系向 Cisco 靠拢（普遍涨 5-10%）。但企业客户侧的 Splunk Admin 岗位需求没有明显变化，继续保持中等偏上水平。一个可观察的趋势是：Cisco 在主推 "Splunk + Cisco XDR" 套件，未来 Splunk Admin 如果同时熟悉 Cisco 网络栈（CCNA 级别）会更值钱。
- 澳洲
- AUD 115,000 – 175,000
- 美国
- USD 125,000 – 195,000
- 中国
- CNY 280,000 – 600,000
- 新加坡
- SGD 95,000 – 160,000
备考时，做好这些事
- **63 题 / 57 分钟，平均 54 秒一题** — 但题目本身比 1002 短得多，多是配置文件 stanza 题和组件角色判断题。看到长配置文件先扫 stanza 名和关键字段，不要逐行读。
- **配置文件题先看 stanza 名** — `[default]` stanza 是 fallback，`[<sourcetype>]` 是针对特定 sourcetype。如果题目里同时给两个 stanza，针对性的 stanza 优先级更高。
- **遇到 "配置不生效" 类问题首选 btool** — 任何 "为什么我的 props.conf 没生效" 类型的题，正确答案大概率是用 `splunk btool props list --debug <sourcetype>` 排查。
- **Universal Forwarder 不能 parse** 是判断 UF/HF 选型题的核心原则 — 任何涉及 forwarder 端做 REGEX、字段提取、路由、masking 的场景，答案永远是 HF。
- **Deployment Server 不管 indexer cluster** — 看到 "如何把配置推送到 indexer cluster peer" 的题，答案永远是 Cluster Master + `splunk apply cluster-bundle`，不是 Deployment Server。
- **SF <= RF 是 indexer cluster 的硬约束** — Search Factor 必须小于等于 Replication Factor。题目里如果 SF=3, RF=2 这种是非法配置。
- **费用和约考**：考试费 130 美元（Pearson VUE 在线监考或线下考点都行），需要先在 Splunk Training 网站登录 → My Splunk → Certification → Schedule Exam → 跳转 Pearson VUE。挂了后 7 天内不能重考（这点和 1002 的 14 天不同），重考全价。
- **考完立即出结果** — 交卷后屏幕直接显示 Pass/Fail 和各 domain 的百分比，没过的话能看到自己哪个 domain 薄弱（一般是配置文件优先级或 cluster 概念），下次针对性补。
这些误区要避开
- **搞混 props.conf 和 transforms.conf 的职责边界** — props.conf 定义 "对某个 sourcetype/host/source 要做什么处理"（声明意图），transforms.conf 定义 "具体怎么做"（提供 REGEX、FORMAT、DEST_KEY 等实现细节）。两者通过 TRANSFORMS-xxx = stanza_name 关联。最常见的考题：要做正则字段提取，**必须** props.conf 里写 `TRANSFORMS-extract = my_extract`，然后 transforms.conf 里定义 `[my_extract]` stanza 写 REGEX。新手常犯的错是把 REGEX 直接写在 props.conf 的 EXTRACT-xxx 字段里 — 这种简单提取可以，但只能用于 search-time 提取，不能做 index-time 提取或路由。
- **Universal Forwarder 和 Heavy Forwarder 选型用错位置** — Universal Forwarder 是 lightweight agent（约 100MB 内存），**不做任何 parsing**（除了少数特殊情况如 syslog 的 light parsing），只负责把原始数据流转发到 indexer 或 HF。Heavy Forwarder 是完整 Splunk Enterprise（约 1GB 内存），可以 parse、index-time 字段提取、路由数据到不同 indexer 或第三方系统。考试场景题最常见的两种：(1) 需要按字段值把数据路由到不同 indexer — 必须用 HF（要在 forwarder 端做 parsing），(2) 需要在 forwarder 端做数据 masking / SEDCMD — 也必须用 HF。如果只是单纯把日志文件发到 indexer，永远优先用 UF。
- **Deployment Server 和 Deployment App 的关系搞反** — Deployment Server 是**一台 Splunk 实例**（角色），通过 serverclass.conf 把不同 deployment app（每个 app 是 $SPLUNK_HOME/etc/deployment-apps/ 下的一个目录）推送到不同的 deployment client（被管理的 forwarder 或 indexer）。考题最容易踩的坑：(1) Deployment Server **不能管理自己** — 要管理 search head 必须由另一台 Deployment Server 管，(2) Deployment Server **不能管理 indexer cluster peer** — indexer cluster 的配置由 Cluster Master 通过 splunk apply cluster-bundle 推送，不要混用，(3) serverclass.conf 里 whitelist/blacklist 的匹配是基于 client name / IP / DNS / hostname，不是基于 OS。
- **btool 命令不会用 + 不知道配置文件优先级** — `splunk btool <conf_file> list --debug` 是排查 "为什么我的配置不生效" 的核心命令，考试一定会考。优先级顺序必须背死：`$SPLUNK_HOME/etc/system/local` > `$SPLUNK_HOME/etc/apps/<app>/local` > `$SPLUNK_HOME/etc/apps/<app>/default` > `$SPLUNK_HOME/etc/system/default`。常见错觉：以为 system/default 优先级最高（因为是 "system"）— 错，system/default 优先级**最低**，是兜底默认值。所有人写自己的配置应该放在 `etc/apps/<myapp>/local/` 下，**永远不要改 default 文件**（升级会被覆盖）。
- **Search Peer 和 Indexer Cluster Peer 概念混淆** — Search Peer 是 search head 通过 `splunk add search-server` 添加的、用于 distributed search 的 indexer，每个 search head **独立**维护自己的 search peer 列表，是手动管理的。Indexer Cluster Peer（也叫 Peer Node）是加入了 indexer cluster 的 indexer，由 Cluster Master 统一管理 replication 和 search affinity，search head 不需要手动 add peer，会从 Cluster Master 自动获取 peer 列表（前提是 search head 配置了 `mode = searchhead` 加入 cluster）。考题最常出的场景：6 indexer + 3 search head 的集群里如何添加新 indexer — 答案是把新 indexer 配置 `mode = slave` 加入 cluster，**不需要**在每个 search head 上手动 add search-server。
- **索引数据生命周期阶段路径搞错** — Hot 和 Warm bucket 都在 `homePath`（默认 $SPLUNK_DB/<index>/db），区别是 hot 正在写入、warm 已封闭只读；Cold bucket 在 `coldPath`（默认 $SPLUNK_DB/<index>/colddb）；Frozen 数据默认**直接删除**（除非配置了 coldToFrozenDir 或 coldToFrozenScript）；Thawed 数据放在 `thawedPath`（默认 $SPLUNK_DB/<index>/thaweddb），需要管理员手动从 frozen 解冻。考题陷阱：以为 frozen bucket 还在 splunk 里能搜索 — **错**，frozen 数据脱离了 splunk 索引，必须 thaw 才能搜索。
- **License Master 违规处理规则不清楚** — Splunk Enterprise License 按 "每天 indexed volume" 计算，如果某天 indexed volume 超过 license 容量就算一次 violation。规则：**5 个 violation in 30 days** 触发 license disable（搜索功能被禁用，但数据继续 indexing）。Free License 的限制更狠：**3 个 violation in 30 days** 就触发。恢复方法：联系 Splunk Support 申请 reset license violation，或者升级 license。考题会问 "indexed volume 超了第一次会怎样" — 答案是收到 warning，**不影响搜索**，只有累计 5 次才会 disable。
- **LDAP 和 SAML 认证集成顺序错误** — Splunk 的认证顺序是 Splunk Native → LDAP → SAML（按 authentication.conf 配置的 authSettings 顺序）。常见错误：以为可以同时启用 LDAP 和 SAML — 错，**Splunk 同一时间只能启用一种外部认证**（LDAP 或 SAML，二选一），但都可以叠加 Splunk Native。LDAP 配置的关键字段：bindDN（绑定用户）、groupBaseDN（组搜索路径）、userBaseDN（用户搜索路径）、groupMemberAttribute。SAML 配置需要导入 IdP metadata，关键字段是 entityId 和 SSO URL。考题里会给一个 LDAP 配错的场景让你找问题，最常见的错误是 groupBaseDN 写到了 OU=People 而不是 OU=Groups。
报名之前，你可能想问
SPLK-1003 考试难度如何？适合什么角色的人考？
SPLK-1003（Splunk Enterprise Certified Admin）是 Splunk 管理员认证，共 63 道题，57 分钟完成，通过分数线 70%。这是一个偏运维和管理的认证，与 SPLK-1001/1002 的搜索和分析方向不同。主要考察：(1) Splunk 的安装部署（单机和分布式环境）；(2) 配置文件体系（inputs.conf、outputs.conf、props.conf、transforms.conf 等）；(3) 用户和角色管理、认证方式配置；(4) 索引管理、数据保留策略和存储优化；(5) Splunk 许可证管理和监控。适合 Splunk 平台管理员、IT 基础设施工程师和系统管理员。建议有 6-12 个月的 Splunk 管理经验。
SPLK-1003 考试的配置文件相关内容占多大比重？需要背哪些配置文件？
配置文件是 SPLK-1003 最核心的考点，约占考试的 30-40%。必须掌握的配置文件：(1) inputs.conf：定义数据输入源（文件监控、网络输入、脚本输入），理解 monitor、tcp、udp 输入类型；(2) outputs.conf：配置数据转发目标，理解 indexAndForward 和 tcpout 组的设置；(3) props.conf：定义数据解析规则，包括时间戳提取、行合并、字符集设置；(4) transforms.conf：定义高级字段提取和路由规则；(5) server.conf：Splunk 服务器核心配置；(6) authorize.conf：角色和权限定义。重点理解配置文件的优先级顺序：$SPLUNK_HOME/etc/system/local > $SPLUNK_HOME/etc/apps/<app>/local > $SPLUNK_HOME/etc/apps/<app>/default > $SPLUNK_HOME/etc/system/default。
SPLK-1003 考试中分布式部署架构是必考内容吗？需要掌握到什么程度？
是的，分布式部署架构是 SPLK-1003 的重要考点。需要掌握：(1) Splunk 组件角色：Search Head（执行搜索）、Indexer（存储和索引数据）、Forwarder（收集和转发数据）、Deployment Server（集中管理配置）、License Master（管理许可证）；(2) Forwarder 类型区别：Universal Forwarder（轻量级，只转发数据）vs Heavy Forwarder（全功能，可以解析和路由数据）；(3) Deployment Server 的工作原理：Server Classes、Deployment Apps 的概念和配置方式；(4) 搜索对等体（Search Peers）的添加和管理；(5) 索引集群（Index Cluster）的基本概念，包括 Cluster Master、Peer Nodes、Replication Factor 和 Search Factor。不需要深入掌握集群的高可用配置细节。
SPLK-1003 和 SPLK-1002 的前提要求是什么？可以直接考 SPLK-1003 吗？
Splunk 官方建议（但非强制要求）在考 SPLK-1003 之前先通过 SPLK-1001。SPLK-1003 和 SPLK-1002 是两个不同的方向分支：SPLK-1002 走的是高级搜索/分析方向，SPLK-1003 走的是管理/运维方向。你可以在通过 SPLK-1001 后直接考 SPLK-1003，不需要先考 SPLK-1002。但如果你同时负责搜索分析和平台管理，建议两个都考。备考方面，推荐完成 Splunk 官方的 Splunk Enterprise System Administration 和 Splunk Enterprise Data Administration 两门培训课程（各约 12 小时），它们直接对应考试大纲。
SPLK-1003 考试中索引管理和数据保留策略怎么准备？
索引管理是 SPLK-1003 的高分值考点，建议重点掌握：(1) 索引基础：理解默认索引（main、_internal、_audit）的用途，创建自定义索引的方法（通过 indexes.conf 或 Splunk Web）；(2) 数据保留策略：frozenTimePeriodInSecs（数据冻结时间）、maxTotalDataSizeMB（最大数据量限制）、coldToFrozenDir（冻结数据存储路径）的配置和优先级；(3) 索引存储层次：Hot → Warm → Cold → Frozen → Thawed 的数据生命周期，理解每个阶段的特点和数据在各阶段的行为；(4) 数据恢复：如何解冻（thaw）已冻结的数据使其可搜索；(5) 索引管理最佳实践：按数据类型分索引、设置合理的保留策略平衡存储成本和合规要求。考试中会出场景题要求选择正确的保留配置。
SPLK-1003 考试中用户管理和安全相关内容包括哪些？
用户管理和安全约占考试的 15-20%，需要掌握：(1) Splunk 内置角色：admin、power、user 的默认权限差异，以及如何创建自定义角色；(2) 角色继承：Splunk 角色支持继承机制，子角色自动获得父角色的所有权限（capabilities）；(3) 认证方式：Splunk 内置认证、LDAP 集成、SAML 单点登录的配置和区别；(4) 知识对象权限：Private（仅创建者可见）、App（同一 App 内的用户可见）、Global（所有用户可见）三种共享级别；(5) 索引级别访问控制：通过 srchIndexesAllowed 和 srchIndexesDefault 限制角色可搜索的索引；(6) 审计和合规：_audit 索引记录用户活动，search.log 记录搜索历史。
听听学过的人怎么说
评价加载中…
我是从 Linux SysAdmin 转 Splunk Engineer 的，公司有 12 个 indexer + 4 个 search head 的集群。备考最大的收获是终于把 deployment server、cluster master、SHC deployer 这三个东西彻底分清楚了 — 之前一直靠搜文档，考完之后才真正理解为什么要分三个角色。考试里直接有 3-4 道题考这三个角色的职责区分。btool 命令我之前从来没用过，备考的时候才发现这玩意是排查配置问题的神器，现在工作中天天用。
Marcus T.
Splunk Engineer（澳洲电信公司） · 85% · 6 周
我们是 Splunk ES + Enterprise，我负责 indexer cluster 和 forwarder 的运维。考试里 props.conf 和 transforms.conf 的题真的非常多，至少 10 道以上，重点考时间戳提取（DATETIME_CONFIG=CURRENT 和 NONE 的区别经常被坑）、LINE_BREAKER 和 SHOULD_LINEMERGE 的关系（很多人不知道 SHOULD_LINEMERGE=false 时 LINE_BREAKER 才生效）。第二个坑是 indexes.conf 里的 homePath / coldPath / thawedPath 必须用 $SPLUNK_DB 这个变量，不能写绝对路径，考题会给你一个错误的 stanza 让你找问题。
Helen W.
SIEM Engineer（美国某大型零售） · 79% · 8 周
我们公司是 Splunk 的 Premier Partner，我做交付实施 2 年了，1003 算是日常工作的总结考。Free License 那块考点比预想多 — 50 GB/天的 Free License 不能用 alerting、不能用 distributed search、不能加 forwarder management，这些限制必须背。许可证违规处理也是高频考点：30 天内 5 次 violation 会触发 license disable，需要联系 Splunk Support reset。考试题里 Universal Forwarder 和 Heavy Forwarder 的对比题至少 5 道，记住一个核心原则：UF 不能 parse 数据（除了少数例外比如 syslog），需要在 forwarder 端做字段提取或路由的场景必须用 HF。
Jian Z.
Splunk 实施工程师（北京 Splunk 合作伙伴） · 88% · 5 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $29 起