系统要求
Splunk 版本、两种交付包的差别、大模型端点、网络出站、浏览器。
本页列出安装前需要确认的环境条件。
Splunk
| 项目 | 要求 | 说明 |
|---|---|---|
| 版本 | Splunk Enterprise 10.0 以上 | requests 引擎在所有版本可用 |
| agentic 引擎 | 10.2 以上，Python 3.13 | 官方 splunklib.ai Agent 只在该组合上可用。低于该版本自动退到 requests 引擎，AI 配置页说明原因（python_too_old、splunklib_ai_missing） |
| KV store | 启用 | 会话、知识库、分诊结果、资产表、报告、用户偏好全部保存在 KV store |
| 部署形态 | 单搜索头或搜索头集群 | 安装在搜索头，索引层不需要安装 |
| Enterprise Security | 可选 | 有 ES 时实时告警读取 index=notable，调查结论可写回 notable。没有 ES 时告警源可指向任意索引 |
| Splunk Cloud | 暂不支持 | App 的在线更新会下载并解压 .spl 后重启 Splunk，无法通过 Splunk Cloud 审核，目前没有面向 Cloud 的版本 |
两种包
| 包 | 内容 | 适用 |
|---|---|---|
RST-AI-Copilot-for-Splunk-<版本>-fallback.spl | 纯 Python，requests 引擎 | selfcontained 包无法使用的 Splunk Enterprise：Windows 或 ARM（aarch64）主机，或不允许编译组件的环境 |
RST-AI-Copilot-for-Splunk-<版本>-selfcontained.spl | 内置 splunklib.ai 及依赖（约 120 MB cp313 wheel），许可信任锚编译为 .so | 仅 Linux x86_64 上的 Splunk Enterprise，agentic 引擎需要 10.2 以上 |
RST-AI-Copilot-for-Splunk-<版本>-splunkbase.spl | 与 fallback 包相同，应用内更新关闭 | 供 Splunkbase 分发，通过「应用 > 管理应用」更新 |
两个包功能相同，区别只在 agentic 引擎：它让模型自行调用只读工具探查真实 schema、执行 SPL 自验、围绕告警取证。requests 引擎按同样的提示词单轮作答，不做自主探查。
安装了 fallback 包的 10.2 以上主机可以在搜索头上执行 scripts/vendor_agentic.sh 把依赖装入 bin/lib/，效果等同 selfcontained 包。
splunkbase 包与 fallback 包只有两点不同：default/copilot.conf 中 [update] enabled = 0，应用内更新关闭；app.conf 中 check_for_updates = 1，新版本显示在 Splunk 的「管理应用」中，界面上原来的更新卡片换成一条提示。见在线更新。
大模型
任何 OpenAI 兼容的 chat completions 端点。已验证：火山方舟 coding 计划（ark-code-latest、doubao-seed-*、kimi-k2.7-code、deepseek-v4-*、glm-5.3）、DeepSeek 官方、阿里 DashScope、OpenAI、OpenRouter、本地 Ollama 与 vLLM。
| 要求 | 说明 |
|---|---|
| 上下文不少于 32k | 调查和分诊的提示词带证据，短上下文模型会截断 |
| 工具调用（function calling）非必需 | agentic 引擎使用 splunklib.ai 自身的协议 |
| embeddings 端点可选 | 语义检索默认关闭，知识库退到关键词检索 |
网络
| 方向 | 目标 | 用途 |
|---|---|---|
| 出站 | 大模型端点 443 | 每次 AI 调用 |
| 出站 | license.reallysec.com 443 | 在线激活、心跳、吊销列表。离线许可不需要 |
| 出站（可选） | 威胁情报厂商、ServiceNow 与 Jira、飞书、钉钉、企业微信、Slack、Teams、SMTP、syslog、webhook | 各自在 copilot.conf 或页面中启用后才出网，默认关闭或未配置 |
| 入站 | 无 | 全部走 Splunk Web 的 8000 |
MCP server（1.9.0 起）默认只监听 127.0.0.1:18100。供其他机器使用时需前置 TLS 反向代理。
浏览器
最近两个大版本的 Chrome、Edge、Firefox、Safari。界面按 1280 px 以上宽度设计，1024 px 以下侧栏收起。