1: 背景：

我们在工作过程中，或者是和很多team 进行交互的时候，总会有 filed 共用的情况，还有就是filed 会被相同权限的同事删除等等，这种情况下，就要求做好 /opt/splunk/etc/apps 的备份工作。

如果知道原来是在哪个app 下的fileds, 还好，就怕不知道在哪里。

同样的道理，还有些macros, fileds, alert, report 啥的，都体现的备份的重要性。

2: 解决思路：

如果有备份文件，先去/opt/splunk/etc/apps/XXX/ 下面的local 下面，去： props.conf ,通常 这个是和filed 有关的，当然还有其它的文件，例如： macros.conf, savedsearches.conf 等是放report / alert 的。

可以先把这些文件放到自己的测试环境中，看看效果。

假如： props.conf 文件，你看到的是：

[a:b]

EXTRACT-abc_123 = ^[^\.\n]*\.\d+\s+\w+\s+(?P<hello_shanghai>[^#]+)

那么就可以去下面的界面：

下面的app name是： kunshan

下面是个例子：

当然，还有macros 也可以试试，把macros.conf 放到:/ opt/splunk/etc/apps/xxxx/local/macros.conf.

然后重启splunk ,界面上就可看到了。