Splunk のデータ入力構成フォームのフィールドについて説明します。

基本構成

表 : 1. [はじめに] タブ
フィールド 説明
データ入力名 (Data input name) 新しいデータ入力の名前。このフィールドは必須です。
説明 データ入力の説明。
MID サーバー ログのストリーミング先の MID サーバー。
注:
  • ベーシック認証をサポートする MID サーバー のみを選択できます。mTLS をサポートする MID サーバー は表示されません。
  • 1 つの MID サーバー にログをストリーミングするデータ入力のデフォルトの最大数は 10 です。この数字は、MID サーバーのプロパティで変更できます。
このフィールドは必須です。
ポート MID サーバー のポート。

組織のセキュリティチームが、MID サーバー の選択したポートを開いていることを確認してください。

このフィールドは必須です。
転送プロトコル ログメッセージを ServiceNow インスタンスにストリーミングするために使用されるプロトコル。
  • TCP - 伝送制御プロトコル (TCP) を使用すると、すべてのログがインスタンスに到達します。ただし、MID サーバー がダウンしたり、接続が失われたりすると、Splunk パイプラインがブロックされる可能性があります。TCP はデフォルトの転送プロトコルです。
  • UDP - ユーザーデータグラムプロトコル (UDP) を使用すると、Splunk パイプラインがブロックされることはありません。ただし、一部のログはインスタンスに到達する前に削除される場合があります。

TCP または UDP 転送プロトコルを使用したストリーミングログデータの詳細については、Now Supportナレッジベースの記事「Heavy Forwarder を使用した Splunk データのストリーミング：TCP または UDP の選択 (Streaming Splunk data using Heavy Forwarder: Selecting TCP or UDP) [KB0998928]」を参照してください。
クック済みデータを使用 Splunk がフォワーダーで使用する前処理済み (「クック済み」) 形式で Splunk からログデータを取り込むためのオプション。
この形式で HLA にデータを取り込むと、Splunk が埋め込んだ関連コンテキスト情報が各ログ行に確実に保持されます。
注: このオプションを選択した場合、Splunk データ入力の構成中に props.conf ファイルと transforms.conf ファイルを編集する必要はありません。
フォワーダータイムゾーンを使用 フォワーダーが配置されているタイムゾーンに関する情報を渡すオプション。

MID サーバー はこの情報を使用して、ログが到着するタイムゾーンを調整します。このオプションは、Splunk Universal Forwarder を使用する場合に関連します。
圧縮を有効にする ログを圧縮形式で送信するオプション。

ログを圧縮形式で送信すると、転送されるデータのサイズが最小限に抑えられます。これは、大量のログデータを処理する場合に重要です。このオプションは、Splunk Universal Forwarder を使用している場合に関連し、SSL/TLS が有効になっている場合にのみ使用できます。

詳細構成

表 : 2. 詳細設定フォーム
フィールド 説明 デフォルト値
SSL/TLS を使用 (Use SSL/TLS) SSL/TLS の使用を選択するオプション。
注: ログを圧縮形式で送信するには、SSL/TLS を有効にする必要があります。
ホスト名を検索 (Look up hostnames) IP をホスト名に解決するための DNS ルックアップの実行を選択するオプション。 false
ボススレッド数 (Boss thread count) 接続を管理するスレッドの数。 1
ワーカースレッド数 (Worker thread count) 受信データを処理するスレッドの数。 4
読み取りタイムアウト秒数 (Read timeout seconds) 前回の読み取りからのタイムアウト (秒)。タイムアウトになると、チャネルがクローズされます。 30
デフォルトのタイムゾーン (Default time zone) イベントのデフォルトのタイムゾーン。ログにタイムゾーンが指定されていない場合は、このデフォルト値が使用されます。 GMT
サブサンプルドロップ率 (Sub sample drop ratio) ドロップするイベントの割合。 -1
サブサンプル受信率 (Sub sample receive ratio) 受信するイベントの割合。 -1
最大長 (バイト) (Max length in bytes) ログメッセージの最大長 (バイト)。 32766
文字エンコード このデータ入力の文字エンコーディング。 UTF-8
キューが満杯の場合はドロップ (Drop if queue is full) MID サーバー に負荷がかかっている場合にログの破棄を選択するオプション。