Copyright  ©  2013  Splunk  Inc.  

Brian  Wooden  Principal  Consultant,  Splunk  #splunkconf  

SeBng  Up  a  Chargeback  Model  for  Splunk  

Legal  NoHces  During  the  course  of  this  presentaHon,  we  may  make  forward-­‐looking  statements  regarding  future  events  or  the  expected  performance  of  the  company.  We  cauHon  you  that  such  statements  reflect  our  current  expectaHons  and  esHmates  based  on  factors  currently  known  to  us  and  that  actual  events  or  results  could  differ  materially.  For  important  factors  that  may  cause  actual  results  to  differ  from  those  contained  in  our  forward-­‐looking  statements,  please  review  our  filings  with  the  SEC.    The  forward-­‐looking  statements  made  in  this  presentaHon  are  being  made  as  of  the  Hme  and  date  of  its  live  presentaHon.    If  reviewed  aUer  its  live  presentaHon,  this  presentaHon  may  not  contain  current  or  accurate  informaHon.      We  do  not  assume  any  obligaHon  to  update  any  forward-­‐looking  statements  we  may  make.    In  addiHon,  any  informaHon  about  our  roadmap  outlines  our  general  product  direcHon  and  is  subject  to  change  at  any  Hme  without  noHce.    It  is  for  informaHonal  purposes  only  and  shall  not,  be  incorporated  into  any  contract  or  other  commitment.    Splunk  undertakes  no  obligaHon  either  to  develop  the  features  or  funcHonality  described  or  to  include  any  such  feature  or  funcHonality  in  a  future  release.  

 

Splunk,  Splunk>,  Splunk  Storm,  Listen  to  Your  Data,  SPL  and  The  Engine  for  Machine  Data  are  trademarks  and  registered  trademarks  of  Splunk  Inc.  in  the  United  States  and  other  countries.  All  other  brand  names,  product  names,  or  trademarks  belong  to  their  respecCve  

owners.    

©2013  Splunk  Inc.  All  rights  reserved.  

2  

About  Me  

Brian  Wooden  |  Principal  Consultant  |  Professional  Services  brian@splunk.com  

 3.5  Years  @  Splunk  

Deploying,  opHmizing,  and  extending  Splunk  ConverHng  machine  data  into  operaHonal  intelligence  

To  improve  security,  upHme,  and  moneHzaHon  

3  

Key  Takeaways  

!   Service  Meters  monitor  usage  !   Chargebacks  charge  for  usage  !   Either  may  lead  to  elevated  expectaHons  (SLA)  !   Building  reports  is  easy  in  Splunk  Enterprise  !   Manage  expectaHons  via  alerHng  

4  

Funding  OpHons  

Funding  OpHons  

•  Centrally  funded  •  Individually  Funded  •  Hybrid  

6  

Centrally  Funded  (Service  Meter)  !   One  pays  for  all  !   All  eat  for  free    

7  

!   Pros  – Quicker  adopHon  

!   Cons  – ArHficial  capacity  

Centrally  Funded  (Chargeback)  !   One  pays  for  all  !   All  contribute  per  plate  

8  

!   Pros  – Consumers  control  their    own  capacity  desHny  

!   Cons  – Slower  adopHon  – Search  territories  emerge    

Individually  Funded  (Service  Meter)  

Cons  Pros  

•  No  chargeback    model  decisions  

•  Autonomy  • MulH-­‐tenancy    

•  RepeHHous  administraHon  

•  Islands  of  data  •  Governance  challenges  

9  

Hybrid  

• Mix  and  match  previous  3  

10  

Smorgasbord  

Chargeback  ConsideraHons  Common  ownership  responsibiliHes  •  InstallaHon  • Maintenance  •  Capacity  •  Reliability  (HA,  DR)  •  ReporHng  •  Governance      

11  

Funding  OpHons  Recap  

12  

Central  Service  Meter    

Individually  Funded  Pros  •  Consumers  control  

capacity  •  CentralizaHon  (slide  7)    Cons  •  Search  territories  

emerge  

Pros  •  Autonomy  of  groups  •  True  mulH-­‐tenancy  •  No  chargebacks    Cons  •  Data  islands  •  RepeHHous  administraHon  •  Governance  challenges  

Pros  •  Quicker  AdopHon  •  CentralizaHon  (slide  7)      Cons  •  ArHficial  Capacity  

Central  Chargeback  

ReporHng  OpHons  

Defining  Inputs  

 Investments:  •  Hardware  (plalorm  +  storage)  •  Splunk  Enterprise  •  SupporHng  soUware  •  Labor  

14  

Resource:  License  Master  •  License  pools  –  Pro:    Easy  to  track/enforce  

–  Con:    Lose  map  reduce  to  varying  degrees  

 •  License_usage.log  –  4.2  vs  4.3  &  beyond  –  Only  host  granularity  is  guaranteed  (version  specific)  

15  

Monitor  with  ExisHng  Apps  Splunk  on  Splunk  (SoS)  !   Download  from  Splunkbase    hqp://apps.splunk.com/app/748  

 !   Fire  Brigade  hqp://apps.splunk.com/app/1581  

 

16  

Custom  Monitoring  

Manual  CalculaHons  

!   Tagging,  source  type,  source,  etc.  

!   Bucket  InspecHon  (Fire  Brigade  Plug!)  

!   Scheduled  vs  Ad  Hoc  

!   TSIDX  improvement  

17  

Chargeback  App  Demo  Available  on  Splunk  Apps  –  hqp://apps.splunk.com/  

 

18  

Alert  on  Thresholds  

!   Configure  alerts    

!   NoHfy  business  owner  or  Splunk  administrator    as  thresholds  are  approached  (before  they’re  crossed)  

!   Forgiveness:    5  Strike  Rule  

19  

Recap  

20  

Review  

•  Choose  model  based  on  needs  of  your  enterprise  

•  Design  architecture  with  model  in  mind  

•  Communicate  service  commitments  &  ownership  

•  Make  reports  available    

21  

Key  Concepts  

Next  Steps  

22  

Download  the  .conf2013  Mobile  App  If  not  iPhone,  iPad  or  Android,  use  the  Web  App    

Take  the  survey  &  WIN  A  PASS  FOR  .CONF2014…  Or  one  of  these  bags!    

1  

2  

QuesHons?  

23  

?  

THANK  YOU