SPLK-1003 考试难度如何？适合什么角色的人考？

SPLK-1003（Splunk Enterprise Certified Admin）是 Splunk 管理员认证，共 63 道题，57 分钟完成，通过分数线 70%。这是一个偏运维和管理的认证，与 SPLK-1001/1002 的搜索和分析方向不同。主要考察：(1) Splunk 的安装部署（单机和分布式环境）；(2) 配置文件体系（inputs.conf、outputs.conf、props.conf、transforms.conf 等）；(3) 用户和角色管理、认证方式配置；(4) 索引管理、数据保留策略和存储优化；(5) Splunk 许可证管理和监控。适合 Splunk 平台管理员、IT 基础设施工程师和系统管理员。建议有 6-12 个月的 Splunk 管理经验。

SPLK-1003 考试的配置文件相关内容占多大比重？需要背哪些配置文件？

配置文件是 SPLK-1003 最核心的考点，约占考试的 30-40%。必须掌握的配置文件：(1) inputs.conf：定义数据输入源（文件监控、网络输入、脚本输入），理解 monitor、tcp、udp 输入类型；(2) outputs.conf：配置数据转发目标，理解 indexAndForward 和 tcpout 组的设置；(3) props.conf：定义数据解析规则，包括时间戳提取、行合并、字符集设置；(4) transforms.conf：定义高级字段提取和路由规则；(5) server.conf：Splunk 服务器核心配置；(6) authorize.conf：角色和权限定义。重点理解配置文件的优先级顺序：$SPLUNK_HOME/etc/system/local > $SPLUNK_HOME/etc/apps/ /local > $SPLUNK_HOME/etc/apps/ /default > $SPLUNK_HOME/etc/system/default。

SPLK-1003 考试中分布式部署架构是必考内容吗？需要掌握到什么程度？

是的，分布式部署架构是 SPLK-1003 的重要考点。需要掌握：(1) Splunk 组件角色：Search Head（执行搜索）、Indexer（存储和索引数据）、Forwarder（收集和转发数据）、Deployment Server（集中管理配置）、License Master（管理许可证）；(2) Forwarder 类型区别：Universal Forwarder（轻量级，只转发数据）vs Heavy Forwarder（全功能，可以解析和路由数据）；(3) Deployment Server 的工作原理：Server Classes、Deployment Apps 的概念和配置方式；(4) 搜索对等体（Search Peers）的添加和管理；(5) 索引集群（Index Cluster）的基本概念，包括 Cluster Master、Peer Nodes、Replication Factor 和 Search Factor。不需要深入掌握集群的高可用配置细节。

SPLK-1003 和 SPLK-1002 的前提要求是什么？可以直接考 SPLK-1003 吗？

Splunk 官方建议（但非强制要求）在考 SPLK-1003 之前先通过 SPLK-1001。SPLK-1003 和 SPLK-1002 是两个不同的方向分支：SPLK-1002 走的是高级搜索/分析方向，SPLK-1003 走的是管理/运维方向。你可以在通过 SPLK-1001 后直接考 SPLK-1003，不需要先考 SPLK-1002。但如果你同时负责搜索分析和平台管理，建议两个都考。备考方面，推荐完成 Splunk 官方的 Splunk Enterprise System Administration 和 Splunk Enterprise Data Administration 两门培训课程（各约 12 小时），它们直接对应考试大纲。

SPLK-1003 考试中索引管理和数据保留策略怎么准备？

索引管理是 SPLK-1003 的高分值考点，建议重点掌握：(1) 索引基础：理解默认索引（main、_internal、_audit）的用途，创建自定义索引的方法（通过 indexes.conf 或 Splunk Web）；(2) 数据保留策略：frozenTimePeriodInSecs（数据冻结时间）、maxTotalDataSizeMB（最大数据量限制）、coldToFrozenDir（冻结数据存储路径）的配置和优先级；(3) 索引存储层次：Hot → Warm → Cold → Frozen → Thawed 的数据生命周期，理解每个阶段的特点和数据在各阶段的行为；(4) 数据恢复：如何解冻（thaw）已冻结的数据使其可搜索；(5) 索引管理最佳实践：按数据类型分索引、设置合理的保留策略平衡存储成本和合规要求。考试中会出场景题要求选择正确的保留配置。

SPLK-1003 考试中用户管理和安全相关内容包括哪些？

用户管理和安全约占考试的 15-20%，需要掌握：(1) Splunk 内置角色：admin、power、user 的默认权限差异，以及如何创建自定义角色；(2) 角色继承：Splunk 角色支持继承机制，子角色自动获得父角色的所有权限（capabilities）；(3) 认证方式：Splunk 内置认证、LDAP 集成、SAML 单点登录的配置和区别；(4) 知识对象权限：Private（仅创建者可见）、App（同一 App 内的用户可见）、Global（所有用户可见）三种共享级别；(5) 索引级别访问控制：通过 srchIndexesAllowed 和 srchIndexesDefault 限制角色可搜索的索引；(6) 审计和合规：_audit 索引记录用户活动，search.log 记录搜索历史。

其他助理级📊 数据

Splunk Enterprise Certified Admin

验证 Splunk Enterprise 平台管理能力，涵盖安装部署、配置文件管理、索引管理、用户权限配置和分布式架构运维，面向 Splunk 管理员岗位。

开始刷题查看学习路径

单次题量

167

题库总量

90m

考试时长

70/100

及格分

一句话定论 · 看情况

Splunk Enterprise Admin 是 Splunk shop 平台运维岗位的硬通货，公司不用 Splunk 这张证就是死证。

这张认证到底考什么

先把考试形式、适合人群、备考时长和学习范围讲清楚，再决定要不要投入时间。

Splunk Enterprise Certified Admin（SPLK-1003）是 Splunk 认证体系里唯一真正面向"平台运维"的中级认证 — 它和 SPLK-1002 是同一层级的两个分支：1002 走 SPL/分析方向，1003 走部署/管理方向。官方硬性要求必须先通过 SPLK-1002 才能报考 SPLK-1003（不是建议，是 schedule 时系统会拦），这点是 2024 年改版后的新规则，之前可以直接考。

考试形式：63 道题，57 分钟，70% 通过，费用 130 美元（Pearson VUE，可线上监考）。考试有效期 3 年。这张证的题目密度相当高，平均不到 55 秒一题，但题目本身比 1002 短，多是配置文件场景题和组件角色判断题。

考点核心是 4 个领域：(1) 配置文件体系 — inputs.conf / outputs.conf / props.conf / transforms.conf / indexes.conf 的字段语法和优先级合并规则（system/local > apps/local > apps/default > system/default，这个顺序必须背死）；(2) Forwarder 部署 — Universal Forwarder 和 Heavy Forwarder 的能力差异、Deployment Server 通过 serverclass.conf 推送 deployment app 的机制；(3) 索引生命周期 — Hot/Warm/Cold/Frozen/Thawed 各阶段的存储路径、转换条件、frozenTimePeriodInSecs 和 maxTotalDataSizeMB 优先级；(4) 用户认证与许可证 — LDAP/SAML 集成、role inheritance、License Master 违规处理。

2024 年 Cisco 完成 280 亿美元收购 Splunk 后，Splunk Enterprise 自管部署在大型金融、电信、政府客户里依然是 SIEM/日志平台的事实标准，企业不会短期内迁走 — 这意味着 SPLK-1003 在未来 3-5 年内对已经在 Splunk shop的运维人员仍然有实打实的薪资溢价。但 Cisco 在主推 Splunk Cloud + Cisco XDR 集成，新客户上 SaaS 比例越来越高，纯自管 Splunk 的运维岗位长期会被压缩。

一句话判断：你或你公司有 Splunk Enterprise 的自管或混合部署 — 这张证考；纯 Splunk Cloud 的公司或者非 Splunk 栈 — 别浪费时间。

你会反复碰到的核心服务

inputs.conf 数据输入配置outputs.conf 数据转发设置props.conf / transforms.conf 数据解析Universal Forwarder 与 Heavy Forwarder 部署Deployment Server 与 Server Classes 配置Index 管理与数据生命周期（Hot/Warm/Cold/Frozen）frozenTimePeriodInSecs 数据保留策略用户角色管理与 LDAP 集成知识对象权限（Private/App/Global）Splunk 许可证管理

学完以后你能带走什么

自信通过 Splunk Enterprise Certified Admin SPLK-1003 认证
掌握 Splunk 配置文件体系和优先级合并规则
能够独立部署和管理分布式 Splunk 环境
具备向 Splunk Enterprise Certified Architect（SPLK-2002）进阶的知识基础

考试详情

考试代码

SPLK-1003

发证机构

其他认证机构

时长

90 分钟

题目数

65 题

及格分

70/100

有效期

3 年

题型

single-choice、multiple-choice

考试语言

English

官方页面

打开官方页面

适合谁考

适合人群

Splunk 平台管理员，负责安装配置和日常运维管理
IT 基础设施工程师，负责 Splunk 环境的维护和优化
系统管理员，需要掌握 Splunk 分布式架构管理
已持有 SPLK-1001 并希望向管理方向发展的工程师

开始前最好先有

已通过 SPLK-1001 Splunk Core Certified User 认证（强烈建议）
6-12 个月 Splunk 管理员实际工作经验
熟悉 Linux 系统管理和基本网络配置
了解日志管理和基础配置文件编辑

值不值得考？职业价值

Splunk SPLK-1003 持证人的薪资区间、对应岗位、以及真实的职业影响。

澳洲

$115K-175KAUD

美国

$125K-195KUSD

中国

¥280K-600KCNY

新加坡

$95K-160KSGD

Splunk AdministratorSplunk EngineerSplunk Platform EngineerSIEM EngineerObservability EngineerLog Management EngineerSecurity Operations EngineerIT Infrastructure Engineer (Splunk focus)Splunk 平台工程师日志平台运维

Splunk Admin 是 Splunk 生态里最贵的岗位之一

在美国市场，Splunk Administrator / Splunk Engineer 的中位薪资比通用 SIEM Engineer 高 15-25%，原因很简单：Splunk 自管部署的运维门槛比 Datadog/Elastic 高得多 — 配置文件层级、indexer cluster 的 replication factor / search factor、deployment server 的 serverclass 推送、SHC（Search Head Cluster）的 captain 选举 — 这些东西没有 1-2 年实战经验做不下来。市场上能熟练做 Splunk Enterprise 自管运维的人本来就少，所以薪资被顶得很高。澳洲四大行（CBA、NAB、Westpac、ANZ）和大型电信（Telstra、Optus）的 Splunk Admin 岗位 base 普遍在 130-160k AUD，加上 super 和 bonus 接近 175k。

谁最该考

已经在 Splunk shop 做运维 / SOC 工程的人：你日常已经在改 inputs.conf、维护 deployment app、处理 license 告警 — 这张证就是给你日常工作的官方背书，加薪和升职谈判时是硬筹码。
从 Linux SysAdmin / DevOps 转型 Observability 平台工程师：Splunk Admin 的技能栈（Linux + 配置管理 + 分布式系统）和 SRE 高度重合，是 SysAdmin 进入高薪 SIEM/Observability 赛道的最短路径。
MSP / Splunk 合作伙伴的实施工程师：Splunk Partner Program 要求合作伙伴公司维持一定数量的 Certified Admin，挂证 + 实施费一年可以多赚不少。

谁不应该考

公司用 Splunk Cloud（SaaS）而不是自管 Enterprise：Splunk Cloud 把 indexer / forwarder / 索引管理这些都托管了，用户根本碰不到 indexes.conf 和 deployment server，1003 的 70% 知识用不到。这种公司的 admin 岗位反而更看重 SPL（1002）。
SOC 分析师 / Threat Hunter：你需要的是 SPLK-1002（高级 SPL）和 SPLK-1004，不是 1003。1003 的配置文件知识对分析工作毫无帮助。
不在 Splunk 栈的公司：Splunk 的配置文件结构、deployment 机制和别的 SIEM（QRadar / Sentinel / Elastic）完全不通用，跳槽没有迁移价值。

Cisco 收购后的薪资观察：2024-2025 年 Cisco 完成整合后，部分 Splunk Professional Services 团队被合并到 Cisco Customer Experience（CX），这部分人的薪资体系向 Cisco 靠拢（普遍涨 5-10%）。但企业客户侧的 Splunk Admin 岗位需求没有明显变化，继续保持中等偏上水平。一个可观察的趋势是：Cisco 在主推 "Splunk + Cisco XDR" 套件，未来 Splunk Admin 如果同时熟悉 Cisco 网络栈（CCNA 级别）会更值钱。

备考节奏

有 AWS 实操经验

4-6 周

零基础切入

8-12 周

建议日投入

1-2 小时/天

学习路径预览

3 章

Splunk 架构组件与数据输入配置

40 min

索引管理、用户权限与配置文件体系

120 min

模拟考试：管理员全域综合测试

100 min

分阶段备考路径

过来人总结的分阶段备考节奏，按周拆分，不是空话。

第一阶段：确认 SPLK-1002 已过 + 搭分布式实验环境（3-5 天）

1002 是硬性前置，没过先去考。环境必须搭"分布式"，不能只装单机 — 因为 1003 的核心就是分布式架构。最低配置：3 台 Linux VM（4G 内存即可），一台装 Splunk Enterprise 做 Indexer + License Master，一台装 Splunk Enterprise 做 Search Head + Deployment Server，一台装 Universal Forwarder。Splunk Enterprise 用 Free License（每天 500MB 永久免费）。如果机器不够也可以用 Docker compose 起 splunk/splunk 镜像 + splunk/universalforwarder 镜像，官方都有现成的。这一步如果跳过，后面所有的配置题都是死记硬背 — 必死。

第二阶段：刷 Splunk Enterprise System Administration + Data Administration 两门官方课（2-3 周）

Splunk Training 上这两门课直接对应 1003 考纲，每门约 12 小时，目前需要付费但很多公司账号有免费名额，可以先问 IT。System Administration 重点：Splunk 索引架构、用户和角色管理、authentication（LDAP/SAML/Native）、license 管理、监控 _internal 索引。Data Administration 重点：data inputs（monitor/tcp/udp/scripted）、forwarder 配置、props.conf 时间戳和行合并、transforms.conf 字段提取和路由、CIM data normalization。每看完一节立刻在自己的 3 节点环境里复现 — 比如学到 deployment server 就立刻配一个 serverclass.conf 把 app 推到 forwarder 上，看 splunkd.log 确认 phone home 成功。

第三阶段：配置文件深度训练 + btool 实战（2-3 周）

这是 1003 备考的核心。具体任务：(1) 把 $SPLUNK_HOME/etc/system/default 下的 inputs.conf、outputs.conf、props.conf、transforms.conf、indexes.conf、server.conf、authorize.conf 这 7 个文件**通读一遍**，搞清楚每个 stanza 的 default 值；(2) 自己写一个 monitor input + 自定义 sourcetype + props.conf 时间戳提取（DATETIME_CONFIG/TIME_FORMAT/MAX_TIMESTAMP_LOOKAHEAD）+ transforms.conf REGEX 提取字段的完整流程；(3) 用 `splunk btool inputs list --debug` 看配置合并结果，理解每一行配置来自哪个文件 — **btool 是考试隐藏的核心工具**，会有 2-3 道题问 "用什么命令能看到当前生效的配置"；(4) 创建一个自定义 index，配置 frozenTimePeriodInSecs=2592000、maxTotalDataSizeMB=10000、coldToFrozenDir=/data/frozen，然后手动测试数据从 hot → warm → cold → frozen 的转换；(5) 完整配一遍 Deployment Server：写 serverclass.conf 把不同 deployment app 推到不同 forwarder，看 phone home 周期。这些做完才算真的会 Admin。

第四阶段：分布式 + 用户权限 + 模考（1-2 周）

分布式：搞清楚 Search Head 添加 Search Peer 的命令（splunk add search-server）和 Deployment Server 管理 Forwarder 的区别 — 这俩经常被新手混淆，一定要写一个对比表。Indexer Cluster 的 Replication Factor 和 Search Factor 是必考点（RF 决定数据副本数，SF 决定可搜索副本数，SF <= RF）。用户权限：admin / power / user 默认 capability 差异、role inheritance、srchIndexesAllowed 限制角色可搜索的索引。最后一周每天做一套模考，JR Academy 题库刷 2 遍 + Splunk 官方 sample test。错题本必做，重点关注：props vs transforms 的职责边界（props 配置 parsing 阶段要做什么，transforms 配置具体怎么做）、UF vs HF 选型（带 parsing 需求的场景必须 HF）、Deployment Server vs Indexer Cluster Master vs SHC Deployer（三个东西管的是不同对象）。模考稳定 80% 以上再约考试。

通过者的真实经验

过来人的备考时长、分数、以及踩过的坑。

我是从 Linux SysAdmin 转 Splunk Engineer 的，公司有 12 个 indexer + 4 个 search head 的集群。备考最大的收获是终于把 deployment server、cluster master、SHC deployer 这三个东西彻底分清楚了 — 之前一直靠搜文档，考完之后才真正理解为什么要分三个角色。考试里直接有 3-4 道题考这三个角色的职责区分。btool 命令我之前从来没用过，备考的时候才发现这玩意是排查配置问题的神器，现在工作中天天用。

Marcus T.85%

Splunk Engineer（澳洲电信公司） · 备考 6 周

我们是 Splunk ES + Enterprise，我负责 indexer cluster 和 forwarder 的运维。考试里 props.conf 和 transforms.conf 的题真的非常多，至少 10 道以上，重点考时间戳提取（DATETIME_CONFIG=CURRENT 和 NONE 的区别经常被坑）、LINE_BREAKER 和 SHOULD_LINEMERGE 的关系（很多人不知道 SHOULD_LINEMERGE=false 时 LINE_BREAKER 才生效）。第二个坑是 indexes.conf 里的 homePath / coldPath / thawedPath 必须用 $SPLUNK_DB 这个变量，不能写绝对路径，考题会给你一个错误的 stanza 让你找问题。

Helen W.79%

SIEM Engineer（美国某大型零售） · 备考 8 周

我们公司是 Splunk 的 Premier Partner，我做交付实施 2 年了，1003 算是日常工作的总结考。Free License 那块考点比预想多 — 50 GB/天的 Free License 不能用 alerting、不能用 distributed search、不能加 forwarder management，这些限制必须背。许可证违规处理也是高频考点：30 天内 5 次 violation 会触发 license disable，需要联系 Splunk Support reset。考试题里 Universal Forwarder 和 Heavy Forwarder 的对比题至少 5 道，记住一个核心原则：UF 不能 parse 数据（除了少数例外比如 syslog），需要在 forwarder 端做字段提取或路由的场景必须用 HF。

Jian Z.88%

Splunk 实施工程师（北京 Splunk 合作伙伴） · 备考 5 周

同赛道认证对比

	Splunk SPLK-1003	Splunk SPLK-1001	Splunk SPLK-1002
机构	其他	其他	其他
级别	助理级	助理级	助理级
考试费	$0	$0	$0
时长	90 min	90 min	90 min
单次考试题量	65	65	65
有效期	3 年	3 年	3 年

备考技巧与常见失误

💡

**63 题 / 57 分钟，平均 54 秒一题** — 但题目本身比 1002 短得多，多是配置文件 stanza 题和组件角色判断题。看到长配置文件先扫 stanza 名和关键字段，不要逐行读。

💡

**配置文件题先看 stanza 名** — `[default]` stanza 是 fallback，`[<sourcetype>]` 是针对特定 sourcetype。如果题目里同时给两个 stanza，针对性的 stanza 优先级更高。

💡

**遇到 "配置不生效" 类问题首选 btool** — 任何 "为什么我的 props.conf 没生效" 类型的题，正确答案大概率是用 `splunk btool props list --debug <sourcetype>` 排查。

💡

**Universal Forwarder 不能 parse** 是判断 UF/HF 选型题的核心原则 — 任何涉及 forwarder 端做 REGEX、字段提取、路由、masking 的场景，答案永远是 HF。

💡

**Deployment Server 不管 indexer cluster** — 看到 "如何把配置推送到 indexer cluster peer" 的题，答案永远是 Cluster Master + `splunk apply cluster-bundle`，不是 Deployment Server。

💡

**SF <= RF 是 indexer cluster 的硬约束** — Search Factor 必须小于等于 Replication Factor。题目里如果 SF=3, RF=2 这种是非法配置。

💡

**费用和约考**：考试费 130 美元（Pearson VUE 在线监考或线下考点都行），需要先在 Splunk Training 网站登录 → My Splunk → Certification → Schedule Exam → 跳转 Pearson VUE。挂了后 7 天内不能重考（这点和 1002 的 14 天不同），重考全价。

💡

**考完立即出结果** — 交卷后屏幕直接显示 Pass/Fail 和各 domain 的百分比，没过的话能看到自己哪个 domain 薄弱（一般是配置文件优先级或 cluster 概念），下次针对性补。

⚠️

**搞混 props.conf 和 transforms.conf 的职责边界** — props.conf 定义 "对某个 sourcetype/host/source 要做什么处理"（声明意图），transforms.conf 定义 "具体怎么做"（提供 REGEX、FORMAT、DEST_KEY 等实现细节）。两者通过 TRANSFORMS-xxx = stanza_name 关联。最常见的考题：要做正则字段提取，**必须** props.conf 里写 `TRANSFORMS-extract = my_extract`，然后 transforms.conf 里定义 `[my_extract]` stanza 写 REGEX。新手常犯的错是把 REGEX 直接写在 props.conf 的 EXTRACT-xxx 字段里 — 这种简单提取可以，但只能用于 search-time 提取，不能做 index-time 提取或路由。

⚠️

**Universal Forwarder 和 Heavy Forwarder 选型用错位置** — Universal Forwarder 是 lightweight agent（约 100MB 内存），**不做任何 parsing**（除了少数特殊情况如 syslog 的 light parsing），只负责把原始数据流转发到 indexer 或 HF。Heavy Forwarder 是完整 Splunk Enterprise（约 1GB 内存），可以 parse、index-time 字段提取、路由数据到不同 indexer 或第三方系统。考试场景题最常见的两种：(1) 需要按字段值把数据路由到不同 indexer — 必须用 HF（要在 forwarder 端做 parsing），(2) 需要在 forwarder 端做数据 masking / SEDCMD — 也必须用 HF。如果只是单纯把日志文件发到 indexer，永远优先用 UF。

⚠️

**Deployment Server 和 Deployment App 的关系搞反** — Deployment Server 是**一台 Splunk 实例**（角色），通过 serverclass.conf 把不同 deployment app（每个 app 是 $SPLUNK_HOME/etc/deployment-apps/ 下的一个目录）推送到不同的 deployment client（被管理的 forwarder 或 indexer）。考题最容易踩的坑：(1) Deployment Server **不能管理自己** — 要管理 search head 必须由另一台 Deployment Server 管，(2) Deployment Server **不能管理 indexer cluster peer** — indexer cluster 的配置由 Cluster Master 通过 splunk apply cluster-bundle 推送，不要混用，(3) serverclass.conf 里 whitelist/blacklist 的匹配是基于 client name / IP / DNS / hostname，不是基于 OS。

⚠️

**btool 命令不会用 + 不知道配置文件优先级** — `splunk btool <conf_file> list --debug` 是排查 "为什么我的配置不生效" 的核心命令，考试一定会考。优先级顺序必须背死：`$SPLUNK_HOME/etc/system/local` > `$SPLUNK_HOME/etc/apps/<app>/local` > `$SPLUNK_HOME/etc/apps/<app>/default` > `$SPLUNK_HOME/etc/system/default`。常见错觉：以为 system/default 优先级最高（因为是 "system"）— 错，system/default 优先级**最低**，是兜底默认值。所有人写自己的配置应该放在 `etc/apps/<myapp>/local/` 下，**永远不要改 default 文件**（升级会被覆盖）。

⚠️

**Search Peer 和 Indexer Cluster Peer 概念混淆** — Search Peer 是 search head 通过 `splunk add search-server` 添加的、用于 distributed search 的 indexer，每个 search head **独立**维护自己的 search peer 列表，是手动管理的。Indexer Cluster Peer（也叫 Peer Node）是加入了 indexer cluster 的 indexer，由 Cluster Master 统一管理 replication 和 search affinity，search head 不需要手动 add peer，会从 Cluster Master 自动获取 peer 列表（前提是 search head 配置了 `mode = searchhead` 加入 cluster）。考题最常出的场景：6 indexer + 3 search head 的集群里如何添加新 indexer — 答案是把新 indexer 配置 `mode = slave` 加入 cluster，**不需要**在每个 search head 上手动 add search-server。

⚠️

**索引数据生命周期阶段路径搞错** — Hot 和 Warm bucket 都在 `homePath`（默认 $SPLUNK_DB/<index>/db），区别是 hot 正在写入、warm 已封闭只读；Cold bucket 在 `coldPath`（默认 $SPLUNK_DB/<index>/colddb）；Frozen 数据默认**直接删除**（除非配置了 coldToFrozenDir 或 coldToFrozenScript）；Thawed 数据放在 `thawedPath`（默认 $SPLUNK_DB/<index>/thaweddb），需要管理员手动从 frozen 解冻。考题陷阱：以为 frozen bucket 还在 splunk 里能搜索 — **错**，frozen 数据脱离了 splunk 索引，必须 thaw 才能搜索。

⚠️

**License Master 违规处理规则不清楚** — Splunk Enterprise License 按 "每天 indexed volume" 计算，如果某天 indexed volume 超过 license 容量就算一次 violation。规则：**5 个 violation in 30 days** 触发 license disable（搜索功能被禁用，但数据继续 indexing）。Free License 的限制更狠：**3 个 violation in 30 days** 就触发。恢复方法：联系 Splunk Support 申请 reset license violation，或者升级 license。考题会问 "indexed volume 超了第一次会怎样" — 答案是收到 warning，**不影响搜索**，只有累计 5 次才会 disable。

⚠️

**LDAP 和 SAML 认证集成顺序错误** — Splunk 的认证顺序是 Splunk Native → LDAP → SAML（按 authentication.conf 配置的 authSettings 顺序）。常见错误：以为可以同时启用 LDAP 和 SAML — 错，**Splunk 同一时间只能启用一种外部认证**（LDAP 或 SAML，二选一），但都可以叠加 Splunk Native。LDAP 配置的关键字段：bindDN（绑定用户）、groupBaseDN（组搜索路径）、userBaseDN（用户搜索路径）、groupMemberAttribute。SAML 配置需要导入 IdP metadata，关键字段是 entityId 和 SSO URL。考题里会给一个 LDAP 配错的场景让你找问题，最常见的错误是 groupBaseDN 写到了 OU=People 而不是 OU=Groups。

常见问题

如果你准备考 Splunk SPLK-1003，先从真题型练习开始。

167 道练习题、章节学习路径、模考、错题复盘和 AI 导师都在备考页里。

进入备考页

$29 起 · 前 2 章可免费试学

学员评价

评价加载中…

你可能顺手也会看这些

Splunk SPLK-1001

其他 · 助理级

$065 题90 min

Splunk SPLK-1002

其他 · 助理级

$065 题90 min