Sammi De Blas | Knowledge Base

Splunk - Licencia Developer y reseteo de violaciones

Splunk - Licencia Developer y reseteo de violaciones

Splunk Enterprise en local deja de permitir busquedas con el mensaje:

Your Splunk license expired or you have exceeded your license limit too many times

Causa

La licencia Free tiene un cupo de 500 MB/día y un limite de bloqueo de 3 violaciones de pool_over_quota en una ventana de 30 días. Si se indexan varios GB en pocos días (por ejemplo un dataset de laboratorio), se acumulan violaciones y el buscador se bloquea.

Diagnóstico:

splunk list licenser-messages
# N mensajes pool_over_quota

splunk list licenser-stacks
splunk list licenser-pools

Stack Free: quota 524288000 bytes (500 MB/día), max_violations 3 y window_period 30 días. Los dos ultimos parámetros están fijados en el código y no se pueden cambiar.

Solución temporal: resetear contadores

Los contadores de indexación viven en el fishbucket. Reiniciar el servicio y limpiarlo devuelve el estado a cero, aunque el bloqueo volvera si se repite el consumo.

Restart-Service splunkd -Force
Remove-Item -Recurse -Force "C:\Program Files\Splunk\var\lib\splunk\fishbucket\*"

Editar max_violations o window_period en etc\system\local\server.conf no sirve: Splunk ignora esos valores en el stack Free.

Solución definitiva: licencia Developer

Splunk ofrece una licencia Developer / Personal gratuita, no comercial:

  • Tamaño: 10 GB/día (10737418240 bytes).
  • Vigencia: seis meses, renovable mediante el formulario del programa.
  • Solicitud: registro en dev.splunk.com, formulario de licencia de desarrollador. El .lic llega por correo en minutos, no en días.

Instalación:

& "C:\Program Files\Splunk\bin\splunk.exe" add licenses license.lic -auth admin:<PASS>

Después hay que cambiar el grupo de licencia activo, que es el paso que más se olvida:

  • Web: Settings - Licensing - Change license group - Enterprise license.
  • O por CLI: splunk edit licenser-groups Enterprise -is_active 1 -auth admin:<PASS>.
  • O en server.conf: [license] active_group = Enterprise.

El cambio de grupo exige reinicio:

curl -k -u admin:<PASS> -X POST https://localhost:8089/services/server/control/restart

Verificación: en Settings - Licensing debe aparecer el grupo Enterprise con la cuota de 10240 MB, sin alertas ni violaciones.

splunk list licenser-groups
splunk list licenser-pools

Comandos útiles

# Estado de licencias
 
splunk list licenser-stacks
splunk list licenser-pools
splunk list licenser-groups
splunk list licenser-messages
 
# Anadir licencia
 
splunk add licenses <archivo.lic> -auth admin:<PASS>
 
# Grupo activo
 
splunk edit licenser-groups Enterprise -is_active 1 -auth admin:<PASS>
 
# Reinicio sin UAC
 
curl -k -u admin:<PASS> -X POST https://localhost:8089/services/server/control/restart

Notas

  • Si se cambia la contraseña de admin desde la web, la CLI con -auth sigue funcionando con la contraseña nueva; si falla, autenticar por la UI y repetir.
  • La licencia Developer es para uso personal y desarrollo: no vale para producción ni para uso comercial.
  • Con 10 GB/día es fácil pasarse indexando logs de Windows completos. Filtrar por canal en inputs.conf antes de subir de licencia.
  • Los mensajes de licencia se acumulan en _internal, así que el propio diagnóstico consume cuota.

Vista Gráfica

Retroenlaces