--- title: "Splunkとは？SPLの書き方・Docker検証環境と料金の実額を実装者向けに解説" url: "https://www.issoh.co.jp/tech/details/17455/" published: 2026-09-07 updated: 2026-10-23 categories: ["データベース"] publisher: "株式会社一創" --- # Splunkとは？SPLの書き方・Docker検証環境と料金の実額を実装者向けに解説 Splunkは、サーバーやネットワーク機器、アプリケーションが吐き出すログを加工せずに取り込み、SPLという専用言語で検索・集計するデータプラットフォームです。名前はSIEMの文脈でよく出ますが、実体はセキュリティ専用製品ではなく、ログとメトリクスを横断して検索できる汎用の基盤に近い。この記事では、コンポーネントの役割分担、Dockerで10.4系の検証環境を起動する手順、HTTP Event Collectorでのログ投入、SPLとPython SDKでの検索実行、Ingest・Workload・Activityの三つの課金方式とSplunk Freeの制限までを、公式ドキュメントの記述を根拠に整理します。最後に、受託開発の現場で採用する条件と見送るべき場面を示します。 ## まとめ：Splunkでできることと採用可否・検証開始までの要点 Splunkの中心にあるのは「スキーマを決めずに取り込み、検索するときにフィールドを切り出す」という設計です。テーブル定義を先に作る必要がなく、テキストログをそのまま投入しても後からSPLで構造化できる。この柔軟さが、フォーマットの揃わない機器ログを何十種類も抱える環境で効きます。 検証を始めるだけなら、Dockerイメージを1コマンドで起動すれば済みます。10.x以降は`SPLUNK_GENERAL_TERMS`の指定が増えた点だけ注意すれば、数分でSplunk Webに入れる。ログの投入はHTTP Event Collector（HEC）が最短です。 判断が割れるのは費用です。Splunk EnterpriseとSplunk Cloud Platformの単価は公開されておらず、公式pricingページで金額が出ているのはObservability Cloud（Infrastructureで1ホスト月15ドル）などに限られる。ログ量が読めず監査要件も固まっていない組織なら、Grafana LokiのようなOSS構成で運用を回してからの移行で足ります。逆に、監査対応でログの長期保全と横断検索が要件化していて、SPLを書き続ける担当を置けるなら、Splunkへの一本化はコストに見合う。 ## Splunkの構成要素とデータが検索可能になるまでの処理経路の分解 「ログ検索ツール」とだけ捉えると分散構成の設計で詰まります。データが入口から検索結果になるまでに通るコンポーネントを先に押さえます。 ### フォワーダー・インデクサー・サーチヘッドの三つの役割と配置の型 データの入口はフォワーダーです。監視対象のサーバーに常駐してファイルやイベントログを送るのがUniversal Forwarder、送信前にパースやフィルタを行えるのがHeavy Forwarder。受け取ったデータを分割・タイムスタンプ付与・圧縮してディスクに書くのがインデクサーで、SPLを解釈して各インデクサーに検索を投げ結果をまとめるのがサーチヘッドです。 単一インスタンス構成では、この三つが1プロセスに同居します。検証や小規模用途はこれで足りる。取り込み量が増えたら、まずインデクサーを複数台にしてクラスターを組み、可用性のためにデータを複製する。検索の同時実行が増えればサーチヘッドクラスターを追加する、という順で拡張します。この分散構成は有償ライセンス前提で、後述するSplunk Freeでは分散サーチもクラスタリングも動きません。 ### indexとsourcetypeの設計がSPLの実行コストを左右する理由 Splunkのデータは`index`という単位に格納され、検索は`index=app_logs`のような指定から始まります。省くと既定のインデックス群が対象になり、走査量が跳ね上がる。インデックスはアクセス権の境界であり保持期間の設定単位でもあるため、監査ログとアプリログを混ぜると、片方だけ7年保全したい場面で困ります。 もう一つの軸が`sourcetype`です。データ形式のラベルで、フィールド抽出ルールやタイムスタンプの解釈方法がここに紐づく。JSONログを送るなら`app:json`のように自前の名前を付け、抽出ルールを一度定義しておけば、以降のSPLで`level=error`とフィールド名で絞り込めます。取り込んでから「フィールドが切り出せない」と気づく原因の大半がここにある。インデックス名・sourcetype名・保持期間の三点は、取り込み設計の段階で先に決めてください。 ## Dockerコンテナで10.4系の検証環境を起動するまでの手順 検証環境は、公式が配布するDockerイメージで用意するのが最短です。ビルド元は[docker-splunkの公式ドキュメント](https://splunk.github.io/docker-splunk/)で公開されており、Splunk EnterpriseとUniversal Forwarderの両イメージが同じリポジトリから作られています。 ### docker runで10.4系を起動するときに必須となる環境変数 10.x以降で追加された引っかかりどころが`SPLUNK_GENERAL_TERMS`です。9系までの手順をそのまま流用すると、この変数が無いためコンテナが起動途中で止まる。公式の[Dockerコンテナ内でSplunk Enterpriseを実行する手順](https://help.splunk.com/en/splunk-enterprise/administer/install-and-upgrade/10.4/install-splunk-enterprise-in-virtual-and-containerized-environments/deploy-and-run-splunk-enterprise-inside-a-docker-container)にも、10.x以上で同意が必須である旨が明記されています。 ``` docker run -d \ -p 8000:8000 -p 8088:8088 -p 8089:8089 \ -e "SPLUNK_START_ARGS=--accept-license" \ -e "SPLUNK_GENERAL_TERMS=--accept-sgt-current-at-splunk-com" \ -e "SPLUNK_PASSWORD=Ch4ngeMe-2026" \ --name splunk splunk/splunk:latest ``` 公開ポートは三つ。8000がSplunk Web、8088がHTTP Event Collector、8089が管理用のREST APIで、後述のPython SDKは8089へ接続します。パスワードは8文字以上でないと起動時に弾かれるため、立ち上がらないときはまず`docker logs splunk`を確認してください。 ### Splunk Webへログインしてインデックスを作るまでの手順 コンテナ起動から初期化完了までは1〜2分。ブラウザで`http://localhost:8000`を開き、ユーザー名`admin`と指定したパスワードでログインしたら、次の順でインデックスを作ります。 1. 「設定（Settings）」から「インデックス（Indexes）」を開く 2. 「新しいインデックス（New Index）」で名前に`app_logs`を入力する 3. データ種別はイベント（Events）を選び、保持期間に検証用の短い値を設定する 4. 保存後、一覧に`app_logs`が並んだことを確認する この作業を先に済ませる理由は、次章のHECにあります。HECは送信先インデックスが既に存在していることを前提としており、トークン作成の画面で新規作成はできない。順序を逆にすると、トークン設定をやり直す羽目になります。 ## HTTP Event Collectorでアプリのログを投入する設定と実行例 フォワーダーを各サーバーに入れる方式は運用対象が増えます。アプリのログだけを送りたいなら、HTTPで直接投げられるHECのほうが構成はシンプルです。 ### HECトークンを発行しcurlでイベントを送信するまでの実行例 公式の[Splunk WebでHTTP Event Collectorを設定する手順](https://help.splunk.com/en/data-management/collect-http-event-data/use-hec-in-splunk-enterprise/set-up-and-use-http-event-collector-in-splunk-web)では、「設定」→「データ入力」→「HTTP Event Collector」でトークンを作り、グローバル設定で「すべてのトークン」を有効に切り替える流れが示されています。作成時に送信先インデックスとして`app_logs`を選び、発行された文字列を控えれば、送信はHTTPクライアント1つで完結します。 ``` curl -k https://localhost:8088/services/collector/event \ -H "Authorization: Splunk 12345678-abcd-4321-dcba-0123456789ab" \ -d '{"index":"app_logs","sourcetype":"app:json","event":{"level":"error","msg":"payment timeout","order_id":"A-1024","elapsed_ms":30012}}' ``` 成功すると`{"text":"Success","code":0}`が返ります。`event`にオブジェクトを渡せばJSONとして解釈され、`level`や`order_id`がそのままフィールドになる。テキスト行を送るなら`event`に文字列を入れます。ロギングライブラリからの送信も同じエンドポイントで、フォワーダーを各ホストへ配らずに済みます。 ### HECで詰まる典型例：インデックス未作成とトークン無効の切り分け 返るエラーは原因の切り分けに使えます。`{"text":"Token disabled","code":1}`ならトークン個別の有効化かグローバル設定の切り替え漏れ、`{"text":"Invalid token","code":4}`なら文字列そのものかヘッダー書式の誤りです。 厄介なのが`{"text":"Incorrect index","code":7}`で、指定したインデックスが存在しないか、そのトークンに許可されていないときに出ます。前章でインデックスを先に作るよう順序を指定したのはこのためです。自己署名証明書に対して`-k`を外すと接続そのものが失敗するので、検証段階では証明書検証をスキップし、本番導入時に正規の証明書へ差し替えてください。10.4系ではTLS 1.0と1.1の既定サポートが外れており、古いクライアントライブラリからの送信は接続段階で落ちます。 ## SPLの基本形とPython SDKから検索を実行するクエリの書き方 データが入ったら、あとはSPLです。コマンドをパイプでつなぐ形式で、Unixのパイプラインを知っていれば構文はすぐ読める。全コマンドの一覧は[公式のサーチリファレンス](https://docs.splunk.com/Documentation/Splunk/latest/SearchReference/WhatsInThisManual)にあります。 ### search・stats・timechartをつなぐSPLの基本形と実行例 SPLは「絞り込み → 集計 → 整形」の三段で考えると崩れません。先頭は暗黙の`search`コマンドで、インデックスと時間範囲を指定して母集団を決めます。 ``` index=app_logs sourcetype="app:json" level=error earliest=-24h | stats count by msg | sort - count ``` これで直近24時間のエラーをメッセージ別に集計し、多い順に並べ替えられます。時系列で見たいときは`stats`を`timechart`に置き換える。`span=1h`を付ければ1時間刻みのバケットになり、ダッシュボードの折れ線グラフの元データになります。 ``` index=app_logs earliest=-7d | timechart span=1h count by level ``` 書き方は費用にも直結します。後述するWorkload pricingが検索で消費したコンピュート量を課金対象にするため、走査イベント数を減らす書き方がそのまま単価の抑制になる。効くのは順番で、`index`・`sourcetype`・`host`といったインデックス済みフィールドでの絞り込みを先頭に置き、`eval`や正規表現による加工は絞り込んだ後に書きます。先に`| eval`で全イベントを加工してから条件を掛けると、走査対象が減りません。`earliest`を省くと既定の範囲が適用される点にも注意してください。 ### splunk-sdk-pythonで検索ジョブを投げ結果を受け取る実装例 SPLをアプリケーションから実行するなら、公式の[Splunk Enterprise SDK for Python](https://github.com/splunk/splunk-sdk-python)を使います。管理ポート8089へ接続し、検索ジョブを作って完了を待ち、結果を読み出す流れです。 ``` import time import splunklib.client as client import splunklib.results as results service = client.connect( host="localhost", port=8089, username="admin", password="Ch4ngeMe-2026") query = 'search index=app_logs level=error earliest=-24h | stats count by msg' job = service.jobs.create(query, exec_mode="normal") while not job.is_done(): time.sleep(1) reader = results.JSONResultsReader(job.results(output_mode="json")) for row in reader: if isinstance(row, dict): print(row["msg"], row["count"]) job.cancel() ``` クエリ文字列の先頭に`search`が要る点が、Splunk Webでの入力との違いです。省くとパースエラーになる。`exec_mode="normal"`は非同期実行で、件数が少なく即座に結果が欲しいなら`service.jobs.oneshot()`のほうが短く書けます。ジョブは明示的に`cancel()`しないとサーバー側に残るため、バッチから繰り返し呼ぶ処理では後始末を入れてください。 ## 料金モデル三種とSplunk Freeで検証を続ける場合の費用の線引き 導入検討でつまずくのは技術ではなく見積もりです。公開された数字と、問い合わせないと出ない数字の境界を先に把握します。 ### Ingest・Workload・Activityで課金対象が変わる仕組みと公開単価 [Splunkの公式pricingページ](https://www.splunk.com/en%5Fus/products/pricing.html)では、Splunk Enterpriseがdata-ingestまたはworkload、Splunk Cloud Platformがactivity-based・ingest・workloadから選択できると案内されています。ユーザー数はいずれも無制限です。 | 方式 | 課金対象 | 向く条件 | 費用が跳ねる場面 | | --------------- | ---------------- | --------------- | ---------------- | | Ingest | 1日あたりの取り込みGB量 | ログ量が安定し予算を固定したい | デバッグログの出力を増やしたとき | | Workload | 検索や通知の計算量（SVC単位） | 大量に貯めて検索は限定的 | 自動更新ダッシュボードの増設時 | | Activity（Cloud） | 取り込みと検索の実利用量 | 利用の波が大きい | 調査対応で検索が集中したとき | 取り込み単価とSVC（Splunk Virtual Compute）1単位の価格は公開されていません。「1日◯GBならいくら」を自力で試算することはできず、見積もりは営業経由になる。設計側でできるのは、取り込み量の実測値を先に出しておくことです。 金額が明示されているのはObservability製品のほうです。同じページで、Splunk Observability CloudはInfrastructureが1ホスト月15ドル、App & Infraが60ドル、End-to-Endが75ドル（いずれも年間請求）と公開されています。ホスト単価型は試算しやすい反面、オートスケールする環境では膨らむ。50ホストでApp & Infraを選べば年額36,000ドル規模で、ピーク時に台数が倍増する設計なら課金対象も倍増します。無料枠から様子を見る手もあり、その条件は[O11y Cloud Free Editionの15ホスト無期限無料の使い方](https://www.issoh.co.jp/tech/details/12546/)に整理してあります。 ### Splunk Freeの1日500MB上限と警告三回で検索が止まる挙動 検証を無償で続ける選択肢がSplunk Freeです。公式の[About Splunk Free](https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.4/configure-splunk-licenses/about-splunk-free)によれば、インデックス量の上限は1日500MB。超過するとライセンス違反の警告が記録され、30日のローリングウィンドウで警告が3回に達すると検索が無効になります。インデックス作成自体は続くため、気づいたときには「データは入っているのに検索できない」状態になる。 機能面の制限も実運用には響きます。ログイン認証とユーザー・ロール管理が無く、接続した全員が管理者権限を持つ。アラート（監視）が使えず、分散サーチ・クラスタリング・デプロイメント管理・TCP/HTTP形式のフォワーディング・レポート加速・Ingest Actionsも無効です。Freeは単一インスタンスでSPLとダッシュボードを試すための枠であり、アラートを出したい時点が有償版へ切り替える最初の分岐になります。 ## 10.4系で変わった動作要件とアップグレード時に詰まる設定の勘所 既存環境を引き上げる場合、機能追加よりも動作要件の変更のほうが工数を食います。[Welcome to Splunk Enterprise 10.4](https://help.splunk.com/en/splunk-enterprise/release-notes-and-updates/release-notes/10.4/whats-new/welcome-to-splunk-enterprise-10.4)に記載された変更点から、影響が出やすい箇所を拾います。なお10.4では設定変更を反映前に検証するConfig Validationが入り、`.conf`直編集で起こる起動失敗を事前に潰せるようになりました。一方でAnalytics Workspaceは非推奨となり、Dashboard Studioへの移行計画が要ります。 ### Python 3.13化とTLS・証明書要件の変更で止まる箇所 10.4（2026年5月18日リリース）では同梱Pythonが3.13へ更新されました（フォールバックは3.9）。自作のカスタムサーチコマンドを持ち込んでいる環境では、3.13で削除された標準ライブラリを踏んでいないかの確認が要ります。 証明書まわりはさらに硬くなりました。SHA-1署名の証明書が非対応になり、TLS 1.0と1.1の既定サポートも外れている。社内CAが古い設定のままSHA-1で発行していると、アップグレード後にフォワーダーからの接続が一斉に落ちます。root／Administrator権限での実行も禁止されたため、systemdのユニットファイルで`root`実行していた構成は起動しません。版数ごとの変更履歴と移行時期の考え方は[Splunk Enterprise 10.2.1のリリース背景と10.xロードマップ上の位置づけ](https://www.issoh.co.jp/tech/details/11181/)に整理しています。アップグレード先の版を決める前に、2026年10月公表のCVE-2026-76299で各系列の修正版がどこまで上がったかも確かめてください。手順は[Splunk 脆弱性CVE-2026-76299：影響版の確認と10.2.8などへの更新手順](https://www.issoh.co.jp/tech/details/18821/)にまとめています。 ## Splunkを採用する条件と見送るべき場面の受託開発現場での線引き ここまでの仕様を踏まえて、判断を言い切ります。Splunkは「入れれば楽になる製品」ではなく、SPLを書き続ける人がいて初めて価値が出る製品です。 ### Splunkを採用してよい条件：監査要件とSPL運用体制の有無 採用が見合うのは、次の二つが同時に成立する場合です。第一に、ログの長期保全と横断検索が監査や規制で要件化していること。金融・医療・上場準備の文脈で、機器・OS・アプリのログを数年分保持し「誰がいつ何をしたか」を追跡する必要があるなら、フォーマットを問わず取り込める設計が効きます。SIEMとしての位置づけは[SIEMの仕組みとEDR・XDR・SOARとの違い](/tech/details/13310/)に整理しています。 第二に、SPLを日常的に書く担当を置けること。費用は取り込み量か検索の計算量に連動するため、クエリの書き方と取り込み設計を継続的に見直せる体制が無いと、費用だけが増えていく。内製で回す前提が置けないなら、外部に運用を委ねる構成も選択肢です。ログ基盤の設計から日々のSPLチューニングまでを含む体制づくりは、[システムの保守運用と内製化支援](https://www.issoh.co.jp/service/system/maintenance/)としてご相談を受けています。 ### 見送るべき場面：ログ量が読めない段階とGrafana系で足りる構成 見送るべき場面もはっきりしています。第一に、取り込み量の実測値がまだ無い段階での本契約。IngestもWorkloadも公開単価が無いため、交渉材料を持たないまま年間契約を結ぶことになる。まずFreeか無料トライアルで1日あたりのGB量を測ってください。 第二に、アプリケーションログの検索と障害調査だけが目的で、監査要件が無い構成。この用途ならGrafana LokiとPrometheusの組み合わせで足ります。ラベルベースのインデックスで保管コストを抑えられ、[Grafana LokiのPrometheus連携とLogQLの使い方](https://www.issoh.co.jp/tech/details/9570/)で示したとおりLogQLでの絞り込みも実用に耐える。Splunkの強みは横断検索とアプリエコシステムであって、単一アプリのログ閲覧に払う金額ではありません。 ## Splunkの料金体系・SPL・検証環境についてのよくある質問 導入検討の初期に問い合わせが多い論点を、公式ドキュメントの記述に沿って回答します。 ### Splunkは無料で使えますか？ Splunk Freeであれば無償で使えますが、1日500MBのインデックス上限があります。30日のローリングウィンドウ内で違反警告が3回に達すると検索が停止し、インデックス作成だけが継続する状態になる。ログイン認証とユーザー管理が無く、アラート・分散サーチ・クラスタリング・フォワーディングも無効です。通知を出す運用に入る時点で有償版への切り替えが必要になります。 ### SplunkとElasticsearchはどう違いますか？ どちらも全文検索の仕組みでログを扱いますが、費用構造と守備範囲が異なります。Splunkは商用製品で、取り込み量または検索の計算量に課金され、SIEMやITSIといったアプリケーション群が公式に揃っている。Elasticsearchはインフラ費用が中心で、可視化はKibanaや周辺OSSを組み合わせます。運用要員を確保できるならElasticsearch側の総額が下がり、監査対応のアプリや長期サポートを求めるならSplunk側が有利です。 ### SPLの習得はどれくらいの負荷になりますか？ `search`で絞り、`stats`で集計し、`timechart`で推移を見る。この三つを覚えれば日常の調査クエリは書けます。パイプでコマンドをつなぐ構文はUnixのパイプラインと同じ発想で、SQLよりも学習の入口は緩やかです。難所は`eval`や`rex`による加工と、サブサーチやデータモデルを使った絞り込み設計のほうにある。全コマンドの仕様は公式のサーチリファレンスに揃っています。 ### Splunk EnterpriseとSplunk Cloud Platformはどちらを選ぶべきですか？ インフラ運用を自社で持てるかで分かれます。Splunk Enterpriseは自社環境へ導入する形で、OSやTLS証明書、バージョンアップの計画を自分たちで管理する。10.4系ではPython 3.13化やSHA-1証明書の非対応など動作要件の変更が入っており、この追随を担う人手が要ります。Splunk Cloud Platformはその運用をSplunk側が担う形です。オンプレミスにログ保全を置く規制要件が無いなら、Cloud側から検討するほうが工数は少なく済みます。 ### Splunkの料金はどこで見積もれますか？ プラットフォーム製品の単価は公開されておらず、取り込みGB単価やSVC単位の価格は営業への問い合わせが必要です。一方でSplunk Observability CloudはInfrastructureが1ホスト月15ドル、App & Infraが60ドル、End-to-Endが75ドルと公開されており、ホスト数から試算できる。見積もり依頼の前に取り込み量とダッシュボード数を実測しておくと、方式選択の判断が早く済みます。 ## 関連記事 - [Splunk Enterprise 10.2.1のリリース背景と10.xロードマップ上の戦略的位置づけ](https://www.issoh.co.jp/tech/details/11181/)：版数ごとの変更点と移行時期の考え方 - [O11y Cloud Free Edition徹底ガイド｜15ホスト無期限無料で始めるSplunk可観測性](https://www.issoh.co.jp/tech/details/12546/)：Observability側を無料枠から始める条件 - [SIEMとは？仕組み・機能とEDR/XDR/SOARの違い・製品選定を実装視点で解説](/tech/details/13310/)：SIEMとして使う場合の位置づけ - [オブザーバビリティツール比較｜選定軸と課金モデル・体制別の選び方](https://www.issoh.co.jp/column/details/16502/)：課金モデルと体制からの絞り込み手順 - [Grafana Lokiとは？Prometheus連携・LogQL・導入方法をわかりやすく解説](https://www.issoh.co.jp/tech/details/9570/)：見送る構成での代替になるOSS --- 出典: [Splunkとは？SPLの書き方・Docker検証環境と料金の実額を実装者向けに解説]()（株式会社一創）