Splunk 使用Role 实现数据隔离

很多人知道 Splunk 有很多自带的Role, 今天我就要说说定制化的Role:

1: 在创建新role 的界面:

2: 在如下的界面，可以定制allow index name：

 

3： 创建好新Role 后，在SAML 添加新的group 的时候，就可以看到Role 给某个group：

 

4： 这样一个特定组的人来申请Splunk 权限，就可以申请特定的group 了，这样一来，他们就只能看自己组的index.

5: 去后台看配置:

 /opt/splunk/etc/system/local

cat authorize.conf

[role_