Splunk SPLK-2001

SPLK-2001（Splunk Certified Developer）是 Splunk 开发方向的专业认证，考试侧重 Splunk 平台的二次开发能力。难度特点：(1) 需要具备扎实的 Python 编程能力，因为自定义搜索命令开发和 Modular Inputs 开发都依赖 Python Splunk SDK；(2) REST API 部分考查 HTTP 请求构造、认证方式（Session Token vs Bearer Token vs Basic Auth）和常用端点的使用；(3) Simple XML 和 Dashboard Studio 的仪表板开发考查对前端技术（HTML/CSS/JavaScript）的基本理解；(4) 需要理解 Splunk App 的目录结构规范和 Add-on 的元数据配置。建议有 SPLK-1002 基础并具备 Python 中级编程能力后备考，准备时间约 4-8 周。

REST API 约占 SPLK-2001 考试的 20%，核心考点包括：(1) 认证方式：Session Token（通过 /services/auth/login 获取）vs Bearer Token（Splunk 9.x 推荐）vs Basic Auth 的区别和使用场景；(2) 常用 API 端点：/services/search/jobs（创建搜索任务）、/services/search/jobs/{sid}/results（获取结果）、/services/data/inputs（管理数据输入）、/services/apps/local（管理 App）；(3) 数据写入：通过 /services/receivers/simple 和 HTTP Event Collector（/services/collector）写入事件；(4) KV Store 操作：/servicesNS/.../storage/collections/data/{collection} 增删改查；(5) 响应格式：XML vs JSON 输出格式的设置（output_mode=json 参数）。重点理解如何构造正确的 HTTP 请求头和处理响应。

是的，自定义开发能力是 SPLK-2001 的核心考点。需要掌握：(1) 自定义搜索命令类型：Streaming（每个事件独立处理，效率高）vs Reporting（汇聚所有事件后处理）vs Eventing（可以生成新事件）的差异；(2) 使用 Splunk Python SDK 开发流程：继承对应基类、实现 transform()/reduce() 方法、在 commands.conf 中注册命令；(3) Modular Inputs（模块化输入）：定义 scheme.xml 描述输入参数、实现数据采集逻辑、在 inputs.conf 配置触发；(4) 使用 Splunk Add-on Builder 可以简化 Add-on 和 Modular Inputs 的开发流程；(5) 调试和日志记录：使用 logging 模块写入 splunkd.log，通过 index=_internal 搜索调试信息。

两者都在考试范围内，但侧重不同。主要区别：(1) Simple XML 是 Splunk 传统仪表板框架，使用 XML 声明式语法定义 panels/charts/inputs，成熟稳定，支持通过 JavaScript 扩展点进行深度自定义；(2) Dashboard Studio（原 React Dashboard）是新一代框架，使用 JSON 配置，原生支持更丰富的可视化类型和布局选项，是 Splunk 推荐的未来方向；(3) 考试中 Simple XML 的比重仍然较高，重点考查 XML 标签结构、token 变量传递、drilldown 配置和 form inputs（时间范围、下拉菜单）的配置方式；(4) Dashboard Studio 主要考查基本的 JSON 配置结构和如何从 Simple XML 迁移；(5) 自定义 CSS 和 JavaScript：通过 /appserver/static/ 目录注入自定义样式和行为脚本。

KV Store 是 SPLK-2001 的重要考点，约占 10-15%。需要掌握：(1) KV Store 定义：在 collections.conf 中定义集合结构（字段类型：string/number/boolean/array）；(2) 配置访问权限：在 transforms.conf 中定义 lookup 表，在 metadata 中设置权限；(3) SPL 操作：| outputlookup 写入 KV Store、| inputlookup 读取、| lookup 关联查询；(4) REST API 操作：通过 /servicesNS/.../storage/collections/data/{collection} 进行 GET（查询）、POST（插入）、PUT（替换）、DELETE（删除）操作；(5) SDK 操作：使用 Python SDK 的 KVStore 类进行 CRUD 操作；(6) 批量操作：batch_save() 批量插入提高性能。KV Store 相比 CSV Lookup 的优势是支持 REST API 动态更新、支持并发写入、无需文件系统访问权限。

SPLK-2001 在 Splunk 开发领域是重要的技能认证：(1) 适合岗位：Splunk 平台工程师、Splunk App 开发工程师、安全集成开发工程师、SIEM 工程师等；(2) 与其他认证的关系：SPLK-2001 走开发方向，与走管理方向的 SPLK-1003（Admin）和走分析方向的 SPLK-1002（Power User）形成不同的职业路径；(3) 实际需求：越来越多的企业需要人员扩展 Splunk 功能，包括与 ServiceNow、Jira、AWS 等系统的 REST API 集成，以及定制化仪表板开发；(4) 薪资范围：澳洲和北美市场，Splunk 开发工程师年薪通常在 $90K-$130K AUD 之间；(5) 建议在获得 SPLK-1002 后考取 SPLK-2001，形成"分析 + 开发"的复合型 Splunk 专家背景。认证有效期 3 年。