Accueil · Guides de révision · SPLK-2002

Guide complet SPLK-2002 — Splunk

Splunk Enterprise Certified Architect · Programme, plan de révision, ressources, examen blanc gratuit.

TL;DR — Le guide en 1 minute

La certification SPLK-2002 Splunk Enterprise Certified Architect valide l'expertise des architectes seniors capables de concevoir, dimensionner et deployer des deploiements Splunk Enterprise distribues a grande echelle. Elle s'adresse aux consultants, ingenieurs SIEM et architectes data. Format QCM de 85 questions en 90 minutes, prerequis obligatoire SPLK-2003 (Core Consultant) plus SPLK-1003. Debouches : Splunk Architect, SIEM Lead, Consultant Observabilite, avec salaires depassant 75kEUR en France en 2026.

Pourquoi passer la certification SPLK-2002 ?

En 2026, Splunk reste la plateforme de reference pour l'observabilite, le SIEM et l'analyse de logs a l'echelle entreprise, renforcee depuis le rachat par Cisco fin 2024 qui a accelere l'integration avec ThousandEyes, AppDynamics et la suite securite Cisco XDR. La certification SPLK-2002 positionne son detenteur au sommet de l'echelle technique Splunk : c'est la seule cert qui valide la capacite a architecturer des deploiements multi-sites, des clusters d'indexeurs avec replication, des Search Head Clusters et des pipelines d'ingestion superieurs au teraoctet par jour. La demande marche est portee par trois dynamiques fortes : la consolidation SOC reglementee par NIS2 et DORA en Europe, la migration massive vers Splunk Cloud Platform, et le besoin d'experts capables de maitriser les couts d'ingestion via Edge Processor et Federated Search. Sur le CV, SPLK-2002 ouvre des roles de Principal Architect, Lead Consultant chez les integrateurs Splunk Partner (Devoteam, Sopra Steria, Accenture) et missions freelance facturees 900 a 1300 EUR/jour. Le ROI est immediat : moins de 1500 EUR investis pour un saut salarial moyen de 15 a 25%.

Caractéristiques de l'examen

Format	QCM 85 questions
Duree	90 minutes
Score requis	700/1000 (environ 70%)
Prix officiel	130 USD (environ 120 EUR)
Langues	Anglais uniquement
Validite	3 ans
Prerequis	SPLK-1003 (Admin) + SPLK-2003 (Core Consultant I) obligatoires

Programme détaillé par domaine

Domain 1 : Deployment Planning and Architecture 25%

Objectifs: Ce domaine evalue la capacite a recueillir les exigences metier et techniques, dimensionner un deploiement Splunk Enterprise et produire des schemas d'architecture conformes aux Splunk Validated Architectures (SVA). L'architecte doit savoir traduire un volume d'ingestion quotidien, un nombre d'utilisateurs concurrents et des SLA en topologie cible : single-site, multi-site, ou Splunk Cloud hybride. Il faut maitriser les modeles de reference C1 a C13 publies par Splunk, le calcul du nombre d'indexeurs selon la formule indexer = daily volume / 300GB, et les implications du facteur de replication (RF) et de recherche (SF).
Concepts clés: Concepts cles : Splunk Validated Architectures (SVA), reference designs single-site (S1-S15) et multi-site (M1-M14), capacity planning (CPU cores, RAM, IOPS NVMe), bucket lifecycle (hot/warm/cold/frozen), index sizing avec compression ratio 15%, license volume, ingestion pipeline parallelization, Workload Management, Smart Store sur S3/Azure Blob, Data Fabric Search (DFS) puis Federated Search, hot/warm storage tiers, network bandwidth entre forwarders et indexeurs, calcul du nombre de search heads selon concurrent users (max 4 SH par cluster avant degradation).
Services / outils: Outils : Splunk Sizing Calculator, Monitoring Console (MC), Splunk Architecture Diagrams, deployment-apps, btool, splunkd.log, metrics.log. Protocoles : S2S sur port 9997, HEC sur 8088, replication port 8089, KV Store sur 8191.
Temps estimé: 12-15h

Domain 2 : Indexer Clustering 20%

Objectifs: Maitriser la conception, le deploiement et l'operation des clusters d'indexeurs single-site et multi-site. L'examen teste la comprehension fine du role de Cluster Manager (ex Master Node), des mecanismes de bucket fixup, du calcul RF/SF, et des procedures de maintenance mode. Le candidat doit savoir diagnostiquer un cluster degraded, planifier un rolling restart sans perte de searchability, et configurer site affinity pour optimiser les recherches locales en multi-site. La gestion de la license master integree au Cluster Manager depuis Splunk 9.x est egalement evaluee.
Concepts clés: Cluster Manager (CM), peer nodes, replication factor (RF) versus search factor (SF), primary buckets, searchable copies, bucket fixup tasks, maintenance mode, rolling restart, site replication factor (site_replication_factor), site search factor (site_search_factor), origin site, multisite cluster, summary replication, indexer discovery, manager_uri, pass4SymmKey, cluster bundle, configuration bundle push, splunk apply cluster-bundle.
Services / outils: CLI : splunk show cluster-status, splunk list excess-buckets, splunk rolling-restart cluster-peers. Endpoints REST : /services/cluster/manager/*. Apps : cluster_manager_base, indexer_base, _cluster.
Temps estimé: 10-12h

Domain 3 : Search Head Clustering 20%

Objectifs: Concevoir et operer un Search Head Cluster (SHC) de 3 a 8 noeuds, comprendre l'algorithme RAFT d'election du captain, et gerer la replication des knowledge objects via le deployer. Le candidat doit savoir resoudre les conflits de configuration, planifier la bascule de captain (dynamic vs static), dimensionner le KV Store et configurer la persistance des sessions utilisateurs. La synchronisation avec le cluster d'indexeurs via indexer discovery et la gestion du load balancing devant le SHC (F5, HAProxy, nginx) sont egalement au programme.
Concepts clés: Search Head Cluster (SHC), captain election RAFT, deployer (separate instance), shcluster-apps, bootstrap, KV Store replication, replication_factor SHC (default 3), conf replication, artifact replication, scheduler delegation, captain transfer, dynamic captain, splunk_server_group, knowledge bundle, captaincy roles, splunk init shcluster-config, mgmt_uri.
Services / outils: CLI : splunk show shcluster-status, splunk add shcluster-member, splunk transfer shcluster-captain. Repertoires : etc/shcluster/apps, etc/apps. Load balancer en mode sticky session sur cookie splunkweb_uid.
Temps estimé: 10-12h

Domain 4 : Data Ingestion and Forwarder Management 20%

Objectifs: Architecturer les couches de collecte avec Universal Forwarders, Heavy Forwarders et HTTP Event Collector. Le candidat doit optimiser le throughput avec parallelIngestionPipelines, configurer indexer acknowledgment pour zero perte, et deployer a l'echelle via Deployment Server (limite 50 clients par seconde, max 10000 forwarders). La maitrise d'Edge Processor et Ingest Actions pour filtrer et router les donnees avant indexation est devenue centrale en 2026 pour controler les couts de licence.
Concepts clés: Universal Forwarder (UF), Heavy Forwarder (HF), Deployment Server (DS), serverclass.conf, deployment-apps, HEC tokens, indexer acknowledgment (useACK=true), autoLB, forceTimebasedAutoLB, EVENT_BREAKER, parallelIngestionPipelines, Edge Processor, Ingest Actions, SC4S pour syslog, props.conf et transforms.conf, queue full, blocked queues, thruput limits.
Services / outils: Splunk Connect for Syslog (SC4S) base sur syslog-ng, Splunk Stream, HEC sur 8088 TLS, Deployment Server avec phoneHomeIntervalInSecs, btool check, splunk list forward-server.
Temps estimé: 10-12h

Domain 5 : Performance Tuning and Troubleshooting 15%

Objectifs: Diagnostiquer les problemes de performance d'ingestion, d'indexation et de recherche en production. Le candidat analyse splunkd.log, metrics.log et les dashboards Monitoring Console pour identifier les goulots : disque IOPS insuffisants, CPU sature lors du parsing, queues bloquees, recherches mal optimisees. Il sait utiliser le Job Inspector, comprendre la difference entre dense, sparse, rare et super-sparse searches, et configurer Workload Management pour isoler les charges critiques. La gestion des incidents via diag et Splunk Support est evaluee.
Concepts clés: Monitoring Console (MC), Distributed Management Console, metrics.log, splunkd.log, queue fill ratio, indexing latency, search concurrency limits, base_max_searches, max_searches_per_cpu, Job Inspector, search modes (verbose/smart/fast), bucket cache misses sur SmartStore, tsidx reduction, data model acceleration, summary indexing, Workload Management pools, ulimit, transparent huge pages disabled.
Services / outils: Outils : splunk diag, MC health check, btool, REST /services/server/status. Logs critiques : metrics.log group=queue, group=pipeline, group=per_index_thruput.
Temps estimé: 8-10h

Plan de révision hebdomadaire

Planning recommande sur 8 semaines pour un professionnel travaillant 10h par semaine. Semaine 1 : Lecture complete du Splunk Validated Architectures whitepaper et du Capacity Planning Manual. Construire une feuille Excel de sizing avec 3 scenarios (500GB/j, 2TB/j, 10TB/j). Semaine 2 : Domain 1 approfondi, exercices de design sur papier de topologies S1, S10, M4, M14. Schematiser avec draw.io. Semaine 3 : Lab Indexer Clustering. Monter un cluster 1 CM + 3 peers en VM ou containers, jouer rolling restart, simuler perte de peer, verifier bucket fixup. Lire admin-cluster-deploy.pdf. Semaine 4 : Lab Search Head Clustering. Deployer 3 SH + 1 deployer, pousser une app, forcer captain transfer, casser le KV Store et restaurer. Semaine 5 : Domain 4 ingestion. Installer SC4S, configurer Edge Processor, mesurer impact parallelIngestionPipelines avec un generateur eventgen. Etudier props/transforms pour line breaking. Semaine 6 : Domain 5 tuning. Analyser metrics.log d'un environnement reel, utiliser Job Inspector sur recherches lentes, configurer Workload Management. Lire troubleshooting manual. Semaine 7 : Deux examens blancs Whizlabs et MeasureUp en conditions reelles (90 min, sans documentation). Revoir chaque erreur dans la documentation officielle. Semaine 8 : Revision finale flashcards Anki sur les ports, valeurs par defaut (RF=3, SF=2, replication_port 8089), commandes CLI critiques. Repos 48h avant l'examen, planifier le creneau Pearson VUE le matin.

Besoin d'un planning sur mesure ? 30 jours · 60 jours · 90 jours

Ressources recommandées

Documentation officielle Splunk Docs

Manuels Distributed Deployment, Managing Indexers and Clusters, Capacity Planning : lecture obligatoire integrale.

Splunk Education - Architecting Splunk Enterprise Deployments

Cours officiel de 3 jours avec labs guides, prerequis recommande avant l'examen, environ 2700 USD.

Splunk Validated Architectures

Whitepaper de reference avec tous les designs S et M illustres, a connaitre par coeur.

Splunk Community Slack et Splunk Answers

Forum officiel pour echanger avec d'autres candidats SPLK-2002 et obtenir des retours d'experience d'architectes certifies.

5 erreurs classiques à éviter

Erreur 1 : Confondre Replication Factor et Search Factor. Beaucoup de candidats repondent RF=SF par defaut alors que RF=3 et SF=2 en single-site. Toujours visualiser les copies primaires versus searchable.
Erreur 2 : Sous-estimer le multi-site. Les questions M-series exigent de connaitre site_replication_factor avec syntaxe origin:2,total:3 et l'impact sur le placement des buckets primaires.
Erreur 3 : Oublier que le Deployment Server ne gere PAS les Indexer Cluster peers ni les SHC members. Pour ces noeuds, utiliser Cluster Manager bundle et Deployer respectivement.
Erreur 4 : Mal dimensionner les Search Heads. Le maximum supporte dans un SHC est 8 noeuds en theorie mais 4 a 6 en pratique. Au-dela, la replication RAFT degrade les performances.
Erreur 5 : Ignorer parallelIngestionPipelines. Sur un indexeur moderne 24 cores, passer de 1 a 2 pipelines double quasiment le throughput d'ingestion : question piege recurrente.

5 questions types corrigées

Q1. Dans un cluster d'indexeurs multi-site avec site_replication_factor = origin:2, total:3 et 3 sites, ou seront places les buckets pour des donnees ingerees sur site1 ?

Réponse : A

La directive origin:2 impose 2 copies sur le site d'origine (ici site1 ou la donnee est ingeree). La directive total:3 fixe le nombre total de copies a 3. La troisieme copie est donc placee sur un autre site (site2 ou site3) selon l'algorithme du Cluster Manager qui equilibre la charge. Cette configuration garantit la resilience locale tout en assurant la survie en cas de perte complete du site1.

Q2. Quel composant est responsable de la distribution des applications de configuration aux membres d'un Search Head Cluster ?

Réponse : C

Le Deployer est une instance Splunk dediee, distincte des membres du SHC, qui pousse les knowledge bundles vers les Search Heads via la commande splunk apply shcluster-bundle. Le Deployment Server ne doit jamais gerer les membres SHC car cela cree des conflits avec la replication RAFT entre captain et members. Le Deployer ne participe pas aux recherches ni a l'election du captain ; il sert uniquement de point central de distribution des apps et configurations.

Q3. Un indexeur affiche metrics.log group=queue, name=parsingqueue, current_size_kb proche de blocked. Quelle action prioritaire ?

Réponse : B

Une parsing queue saturee indique que le pipeline d'ingestion ne traite pas assez vite les evenements entrants, souvent en raison d'une CPU sous-utilisee sur un seul pipeline. Augmenter parallelIngestionPipelines de 1 a 2 sur un indexeur avec au moins 12 cores double les threads de parsing/indexing et resout typiquement le probleme. La RAM n'intervient pas directement ; reduire RF degraderait la resilience ; desactiver ACK risquerait des pertes de donnees.

Voir plus de questions gratuites →

Carrière & salaire après SPLK-2002

En France et UE en 2026, un architecte Splunk certifie SPLK-2002 touche entre 70 et 95 kEUR brut annuel en CDI (Paris, Lyon, Bruxelles, Amsterdam), avec des pics a 110 kEUR chez les editeurs et grands integrateurs. En freelance, les TJM oscillent entre 900 et 1300 EUR, parfois 1500 EUR pour des missions SOC multi-tenant ou migration Splunk Cloud. Les debouches : Splunk Architect, Principal Consultant chez Devoteam, Sopra Steria, Accenture, Capgemini, ou en interne dans la finance (BNP, SocGen), la defense (Thales, Airbus) et les telcos (Orange, Proximus). Certs complementaires recommandees : SPLK-3001 (Enterprise Security Admin), SPLK-3003 (Core Consultant II), et hors ecosysteme AWS Solutions Architect Professional pour la dimension cloud, tres demandee depuis le rachat Cisco.

Détail des salaires SPLK-2002 en 2026 →

FAQ — SPLK-2002

Combien de temps faut-il pour preparer SPLK-2002 ?

Comptez 80 a 120 heures sur 2 a 3 mois pour un professionnel ayant deja 2 ans d'experience Splunk et detenant SPLK-2003. Les labs pratiques representent 40% du temps de preparation.

Cette certification est-elle reconnue en France ?

Oui, SPLK-2002 est la reference absolue pour les roles d'architecte Splunk en France. Tous les integrateurs Splunk Partner Elite et Premier l'exigent pour leurs consultants seniors, et elle est tres valorisee dans les appels d'offres.

Quel est le taux de reussite a SPLK-2002 ?

Environ 55 a 65% au premier passage selon les retours communautaires sur r/Splunk et Splunk Answers. C'est l'une des certs Splunk les plus selectives avec un score requis de 700/1000.

Quel est le salaire apres SPLK-2002 ?

En France 2026 : 70 a 95 kEUR en CDI pour un architecte Splunk, jusqu'a 110 kEUR chez les editeurs. En freelance, TJM entre 900 et 1300 EUR. Le saut salarial moyen apres certification est de 15 a 25%.

Faut-il une experience prealable ?

Oui, indispensable. Splunk recommande 18 a 24 mois d'experience en administration et conseil Splunk. Les prerequis SPLK-1003 et SPLK-2003 sont obligatoires et impossible a contourner pour s'inscrire a l'examen.

SPLK-2002 ou cert concurrente : laquelle choisir ?

Si votre stack est Splunk, SPLK-2002 reste unique sans equivalent. En SIEM concurrent, comparer avec Microsoft SC-200 (Sentinel) ou Elastic Certified Engineer. SPLK-2002 reste la mieux remuneree des trois en 2026.

Combien coute l'examen SPLK-2002 ?

130 USD soit environ 120 EUR, payable directement sur Pearson VUE. La formation officielle Architecting Splunk Enterprise Deployments coute 2700 USD supplementaires mais n'est pas obligatoire.

Combien de fois peut-on repasser SPLK-2002 ?

En cas d'echec, delai obligatoire de 7 jours avant le second essai, 14 jours avant le troisieme, et 45 jours avant le quatrieme. Chaque tentative est payante au tarif plein de 130 USD.

Prêt à passer à la pratique ?

Lancez votre examen blanc gratuit ou faites le test d'orientation pour valider votre choix.

Démarrer l'examen blanc SPLK-2002 → Test d'orientation