快速开始
从 .spl 到第一个问题出结果的最短路径。安装 App、配置大模型、激活许可、提问。
本页覆盖在一台 Splunk 搜索头上安装 App 并得到第一个回答的最短路径。角色、配置项、升级与备份见安装各页。
前提条件
| 项目 | 要求 |
|---|---|
| Splunk | Splunk Enterprise 10.0 以上的搜索头，KV store 已启用。自主取证的 agentic 引擎需要 10.2 以上（Python 3.13）并安装 selfcontained 包 |
| 包 | RST-AI-Copilot-for-Splunk-<版本>-fallback.spl（Windows 或 ARM（aarch64）主机，或不允许编译组件的环境，无 agentic）或 -selfcontained.spl（仅 Linux x86_64，内置 agentic 栈）。暂不支持 Splunk Cloud |
| Splunkbase 包 | -splunkbase.spl：供 Splunkbase 分发，通过「应用 > 管理应用」更新，内容同 fallback 包 |
| 大模型 | 一个 OpenAI 兼容端点的 URL、API key、模型名。火山方舟 coding 计划使用 ark-code-latest；DeepSeek、千问、Ollama、vLLM 均可 |
| 账号 | 安装 App 和激活许可需要 Splunk admin，或带 copilot_admin 的角色 |
出站只需两条：大模型端点 443、license.reallysec.com 443。离线环境用离线许可和本地模型，可以完全不出网，见产品激活。
安装
安装 App
Splunk Web：在 Apps 下的 Manage Apps 选择 Install app from file，选择 .spl 文件，重启。命令行：
$SPLUNK_HOME/bin/splunk install app RST-AI-Copilot-for-Splunk-<版本>-selfcontained.spl
$SPLUNK_HOME/bin/splunk restart重启后 App 列表出现 RST AI Copilot for Splunk，打开后为全屏界面，Splunk 顶栏被隐藏。
配置大模型
首页空态上方是引导清单，第一项配置 LLM 跳转到系统设置的 AI 配置。填写 URL、API key、模型名，测试连接通过后保存。key 加密保存在 Splunk storage/passwords，不写入 conf 文件。
同一页的思考模式默认关闭。本产品每次调用都是固定格式的 JSON 输出，开启思考不提高准确率，只增加约 5 倍时延。
激活许可
没有许可时先到 官网试用页 申请 14 天试用，确认邮件后在控制台复制许可密钥。然后在系统设置的产品激活页选择「在线激活」，粘贴许可密钥并激活。免费能力不激活也可用；分诊、调查、检测规则需要许可。
提问
回到首页，在输入框选择一个索引（或保留自动），提问「最近 30 天登录失败的事件按主机统计」。生成的 SPL 自动执行，结果表下方是解读、保存、送去分诊。
没有数据可试时，引导清单中的灌演示数据创建一个 rst_copilot_demo 索引（几百条 sshd、Windows、防火墙事件），用完可一键删除。
安装后
- 角色：分析师授予
rst_copilot_analyst，只读用户授予rst_copilot_viewer。 - 系统设置：索引白名单、脱敏档位、审计转发。
- 已安装 Enterprise Security 时，Incident Review 中 notable 的行菜单提供用 Copilot 调查，见实时告警。
升级
安装新版 .spl 覆盖即可。许可、会话、知识库、分诊结果保存在 KV store 和 storage/passwords 中，App 目录被替换后保留；local/copilot.conf 是本地配置，安装器不修改它。详见升级与备份。
许可指纹由 Splunk 的 server GUID（etc/instance.cfg）和主机的 /etc/machine-id 决定。重建实例、更换 GUID、或容器中的 /etc/machine-id 丢失，都被许可视为更换机器，需要重新激活。
排障
| 症状 | 处理 |
|---|---|
| App 页面空白 | 浏览器强制刷新（静态资源被 Splunk Web 缓存）；查看 index=_internal sourcetype=splunkd component=PersistentScript copilot |
| 测试连接失败 | URL 需带到 /v3 一级（方舟为 …/api/coding/v3）；确认 key 有该模型的权限；确认搜索头到端点的 443 连通 |
| AI 配置页显示 Requests fallback | 安装的是 fallback 包，或 Splunk 低于 10.2。功能齐全，只是不做自主取证 |
提问返回 license_required | 付费能力未激活。免费能力也报错时查看许可页状态 |
| 结果持续为空 | 索引白名单未包含目标索引；数据不在问题的时间窗内（卡片给出索引的数据范围） |