产品激活
需要许可的功能、申请试用、在线与离线激活、指纹的构成、密封检测引擎的解锁方式、状态含义。
产品激活位于系统设置的页签中，管理员可见。
许可范围
| 档位 | 内容 |
|---|---|
| 社区版（未激活） | 智能查询、搜索栏命令、解读、字段字典、知识库、态势、告警、审计、资产、基线、通道等核心功能 |
| 专业版 | 社区版全部，加批量分诊、告警调查、检测规则、平台运维 AI 解读、告警降噪、运营报表 |
| 企业版 | 专业版全部，加 ES Incident Review 写回、工单协作、MCP 服务、审计外发、多模型故障切换、离线激活 |
| 试用 | 14 天，一台主机，企业版全部功能 |
申请试用
试用在官网申请，App 内不再提供申请表单：
- 打开 试用申请页，填写邮箱和公司并提交。
- 点击确认邮件中的链接。
- 登录控制台，复制许可密钥。
- 在 App 的产品激活页选择「在线激活」，粘贴许可密钥并激活。
产品激活页未激活时的「到官网申请试用」按钮打开的就是这个页面。
在线激活
粘贴许可密钥，选择激活。App 本地验签后向许可服务器绑定本机，之后定期心跳；续费、升档、新付费点的密钥都经心跳下发。重载立即拉取一次。激活与心跳的回包必须带许可服务器签名的回执，没有回执或验签失败按连不上服务器处理。无法连接服务器时进入离线宽限（offline_grace_days，默认 3 天，只能调短），超过后失效。
离线激活
离线激活是企业版功能。离线环境：复制主机指纹（64 位十六进制）发给 Reallysec，收到 .lic 后在离线页签粘贴或上传。本地验签与指纹匹配后解锁，之后不心跳、不出网。离线许可的功能集固定在文件中；需要检测引擎时签发时须包含对应密钥，否则该项返回 feature_sealed。
指纹由 Splunk 的 server GUID（etc/instance.cfg）和主机标识（Linux 的 /etc/machine-id，或 product_uuid，Windows 的注册表 MachineGuid）决定。没有 machine-id 也读不到 MAC 的容器，在 2.0.10 及更早版本中激活失败；2.0.11 起改用 App 目录中保存的随机主机标识，可以正常激活。该标识随 App 目录存在，容器部署仍应挂载固定的 machine-id，见在 Docker 中运行。重建实例、更换 GUID、machine-id 变化都被许可视为更换机器，需要重新激活。
搜索头集群
许可数据存放在 storage/passwords，集群把它复制到每个成员。2.0.11 起，每个成员各自保存许可状态（会话、功能密钥、最近联系时间），成员之间不再互相覆盖。许可仍按主机指纹绑定，每个成员各算一个节点。
在线许可（推荐）
使用 max_nodes 覆盖全部成员的企业版许可，企业版不限节点。在任一成员上安装一次，许可密钥复制到其余成员后，每个成员在约 5 分钟内以自己的指纹作为独立节点激活。每个成员都需要能访问 license.reallysec.com。专业版许可只有 1 个节点，只解锁最先激活的成员。
其余成员激活被拒。2.0.12 起，产品激活页在被拒后立即提示「许可节点已用满」，3 天离线宽限过后这些成员的付费功能停用。2.0.11 没有专门的提示，只在 App 日志记录 license activation limit reached；宽限过后界面提示「许可服务器长期不可达，离线宽限已用完。请检查到 license server 的网络。」，看起来像网络问题。2.0.11 的集群成员出现这条提示时，先在该成员的 App 日志中搜索 activation limit reached。两种情况都核对许可的 max_nodes 与成员数，或改用企业版。
离线许可
离线许可绑定一个指纹，每个成员需要各自的一份：
- 在每个成员自己的 Splunk Web（不经集群的负载均衡）打开 产品激活 的离线页签，在 主机指纹 卡片选择 复制主机指纹。
- 按指纹向销售申请离线许可，每个成员一份。
- 在每个成员自己的 Splunk Web 导入该成员的许可。许可只对该成员生效，不替换其他成员的许可。离线页签列出全部成员的离线许可。
成员读到绑定其他主机的许可时，提示「这份离线许可绑定的是另一台主机。」，付费功能保持锁定。新增成员时，为它的指纹签发许可并在该成员上导入。
- 在成员上撤销激活：该成员有自己的离线许可时，只删除这份离线许可；否则删除共享的在线许可，对整个集群生效。
- 成员自己的离线许可优先于共享的在线许可。从离线改为在线，先在该成员上撤销激活。
- 从 2.0.10 及更早版本升级集群前，核对
max_nodes与成员数，见升级与备份。
密封的检测引擎
检测规则生成的提示词与逻辑不以明文存在于包中：bin/detection_core.sealed 是密文，解密密钥由许可服务器在激活或心跳时下发，绑定到本机指纹，运行时在内存中解开。没有密钥时该功能返回 feature_sealed，其余功能不受影响。拿到包不等于拿到功能；许可撤销后下一次心跳即锁定。
状态含义
| 状态 | 含义 | 处理 |
|---|---|---|
| 未激活 | 没有许可 | 到官网申请试用，或粘贴许可密钥 |
| 有效 | 正常。显示到期日、许可 id、类型、最近心跳 | 无 |
| 即将到期 | 距到期不足 7 天（2.0.12 及更早为 30 天） | 续订 |
| 宽限期内 | 最近一次成功心跳超过 24 小时，仍在离线宽限内 | 检查到 license.reallysec.com:443 的出站网络 |
| 已过期、已吊销、无效 | 付费能力锁定 | 联系销售。无效通常表示许可密钥不属于本机（license_host_mismatch） |
更换、续期、撤销
粘贴新的许可密钥重新激活，不需要先撤销。撤销激活回到未激活状态并把在线名额归还服务器，更换机器前执行；撤销同时清除本机的功能密钥。升级 App 不需要撤销。