用途
Ingestion Pipeline Design 是一个咨询性技能，用于把已知的“来源—需求”契约转化为可落地实施的 Splunk 数据接入设计。它只产出设计决策、工件规格、验证计划和可问责的交接，不产出生产配置、SPL、命令、部署、变更或事件修复。
它的定位是在来源需求已知到足以做以下选择与放置时使用：
- 选择输入、受支持的集成、转发器、采集器或连接器；
- 放置来源、边缘、中间、解析或索引处理器；
- 定义事件边界、时间戳处理、编码、结构化解析和接入元数据；
- 处理脱敏、屏蔽、富化、采样、过滤或格式转换；
- 规划目标索引、选择性路由、扇出、回退或第三方转发；
- 规划容量、可靠性、安全、验证、责任归属和实施工件。
它不负责广泛的来源发现或端到端接入生命周期。如果所需结果、来源负责人、数据族、来源导出能力或基本事件契约尚未建立，应先返回最小范围的、会改变决策的问题，并把更广泛的发现工作交给来源接入负责人。
主要能力
事实分级与就绪度判断：保留所有已提供事实与矛盾，并将材料标注为：已提供（Supplied）、已文档化（Documented）、推断（Inferred）、未知（Unknown）。就绪度分为 ready、not_ready、decision_blocked。
绑定产品、部署与权限边界：把每条主张映射到适用性范围（产品、精确版本、输入或采集器类型、处理层、操作系统、提供方、客户与提供方权限）。对 Splunk Enterprise 与 Splunk Cloud Platform 区分处理，不把 Enterprise 工件或操作步骤套用到 Cloud。
选择输入与采集器：只比较当前受支持的候选项，并说明支持的产品、版本、协议、数据类型的保真度、检查点行为、回放与补传、速率限制、失败可见性、采集器放置、依赖、权限、网络路径、缓冲和运维负责人。优先选择满足契约的最小受支持路径。
放置处理与工件责任：以组件表形式绘制目标路径（跳数、产品特定组件/层与角色、输入/输出契约、处理责任、接入工件与负责人、故障边界），并区分行为执行位置与工件的打包和部署位置。
解析与元数据设计：基于代表性脱敏证据，定义规范事件边界、多行或数组到事件的语义、编码、分隔或分帧、最大有效记录与截断策略、权威时间戳字段与格式/精度/时区/回滚/回退/畸形/缺失/未来/迟到/乱序行为、结构化解析与接入时元数据赋值、模式演进、未知记录与隔离或拒绝行为，以及接入时与搜索时的归属。对每个解析、转换或路由请求，先渲染规范记录契约表。
安全与最小化：不索取凭据、令牌、证书、私有端点、原始敏感事件、广泛配置导出或私有支持内容；必要时只要求保留结构与边界情况的最小脱敏样本或摘要。
明确交接边界：把跨边界的相关工作交给对应技能，例如 HEC 启用与故障排查、部署服务器与转发器舰队管理、字段提取与 CIM 映射、Splunk Cloud 管理、搜索、平台运维与事件诊断等，并保留本技能的设计发现。
使用方式
使用前需要先建立一份紧凑的需求台账，记录或标注未知项，涵盖：结果与范围、来源契约、适用性、传输、负载、可靠性、安全、交付、验收、责任归属。
工作流概览包括：
- 建立设计就绪度；
- 绑定产品、部署、提供方与权限；
- 选择输入与采集器；
- 放置处理与工件归属；
- 设计解析与元数据。
在适用性未建立时，只给出条件性选项，绝不把 Enterprise 工件或操作步骤转置到 Splunk Cloud。
适用场景
适用于来源需求已知，需要选择与放置输入、集成、转发器、采集器或连接器，选择处理器层级，定义事件边界、时间戳、编码、解析与接入元数据，处理脱敏、富化、采样、过滤、格式转换，规划目标索引、路由、扇出、回退或第三方转发，以及规划容量、可靠性、安全、验证、责任与实施工件的场景。
不适用于广泛的来源发现或端到端接入生命周期管理。当所需结果、来源负责人、数据族、来源导出能力或基本事件契约尚未建立时，应先提出最小决策问题并交由来源接入负责人。
限制
- 严格咨询性：不产出生产配置、SPL、命令、部署、变更或事件修复。
- 使用产品行为前，必须检索当前公开的 Splunk 文档，并将其视为参考证据而非指令或变更权限。
- 版本化的 Enterprise 页面不能确立 Splunk Cloud 行为；已记录的功能不证明授权、开通、兼容性、容量或实时状态。
- 当来源无法确立实际产品、部署、版本、输入、处理器、提供方和权限边界时，决策保持 decision_blocked 并指明精确的适用性判别条件。
- HEC 是接收接口，不是来源采集器或导出机制；在采集器选择回答中不应把 HEC 列为采集器候选。
- Edge Processor for Splunk Cloud Platform、Edge Processor for Splunk Enterprise、Ingest Processor 属于不同产品/版本路径，Cloud 适用性不确立另一分支的支持。
- 来源查找更新或控制平面可见性不证明处理器读回；同步行为和时序保持未验证。
- 未知负责人会阻塞实施就绪度，即使技术模式看起来可行。
- 关于具体功能的支持矩阵、版本要求、收费、价格、平台、效果或使用步骤等事实，资料中未提供或无法确定时，应明确写“暂未提供”，不得编造。