Konfigurieren Sie eine Dateneingabe für das Streaming von Protokollnachrichten an Ihre ServiceNow-Instanz mit einem Splunk Heavy Forwarder.Die Konfiguration der Dateneingabe ist ein wichtiger Schritt beim Einrichten der Anwendung Health Log Analytics (HLA).
Vorbereitungen
Wichtig: Health Log Analytics bietet keine Unterstützung für IPv6. Konfigurieren Sie den MID-Server auf IPv4, um mit der Anwendung zu arbeiten.
Erforderliche Rolle: evt_mgmt_admin
Warum und wann dieser Vorgang ausgeführt wird
Dieses Setupverfahren dient zum Streamen von Protokollen an Ihre Instanz mit einem Splunk Heavy Forwarder. Wenn Sie keine Heavy Forwarder verwenden können, können Sie stattdessen einen Universal Forwarder verwenden. Weitere Informationen finden Sie im Artikel Splunk Universal Forwarder as a Shipping method [KB0961378] (Splunk Universal Forwarder als Versandmethode) in der Knowledge Base des Now Support.
Hinweis: Ein ausgefallener MID-Server kann eine Blockade in Ihrer Splunk-Pipeline verursachen. Eine volle Verarbeitungswarteschlange wirkt sich nicht auf die Pipeline aus.
Hinweis: Alle Splunk-Konfigurationsdateien befinden sich im Ordner $SPLUNK_HOME/etc/system/local/. Wenn eine Konfigurationsdatei, die Sie ändern müssen, nicht vorhanden ist, erstellen Sie sie und speichern Sie sie in diesem Ordner.
Prozedur
-
Navigieren zu .
-
Wählen Sie auf der Seite „Data Inputs“ (Dateneingaben) die Option Neu aus.
-
Wählen Sie die Splunk-Dateneingabe.
-
Füllen Sie die Formularfelder auf der Registerkarte Erste Schritte aus.
-
Fügen Sie auf der Registerkarte Outputs.conf der Datei outputs.conf die folgenden Absätze hinzu, damit der Versender Protokolldaten über das ausgewählte Transportprotokoll und den ausgewählten Port weiterleitet, und wählen Sie dann Weiter aus.
Hinweis: Wenn Sie bereits Ausgaben konfiguriert haben, führen Sie diese Zeilen mit Ihrer vorhandenen Konfiguration zusammen.
-
Bearbeiten Sie auf der Registerkarte Props.conf die Datei props.conf und wählen Sie Weiter aus.
-
Ändern Sie vorhandene Absätze oder fügen Sie Absätze hinzu, um Quelltypen, Anwendungsservices und Hosts zur Weiterleitung an Health Log Analytics zu markieren.
Hinweis: Um optimale Ergebnisse zu erzielen, markieren Sie nur Quelltypen zur Weiterleitung.
Verwenden Sie beim Hinzufügen von Absätzen folgende Namenformate:
-
Fügen Sie am Ende jedes Absatzes, den Sie entweder über TCP oder UDP an Health Log Analytics weiterleiten möchten, die folgende Zeile hinzu.
-
Fügen Sie den folgenden Absatz hinzu, um alle relevanten Transformationen anzuwenden, die für die Health Log Analytics-Verarbeitung erforderlich sind:
Hinweis: Mit
Splunk können Sie vertrauliche Daten im geklonten Quelltyp für das ausgewählte Protokoll anonymisieren. Weitere Informationen finden Sie im Abschnitt „Anonymize data“ (Daten anonymisieren) in der
Splunk-Dokumentation.
-
Fügen Sie auf der Registerkarte Transforms.conf der Datei transforms.conf die folgenden Absätze hinzu und wählen Sie anschließend Weiter aus.
Der dritte Absatz klont die Protokolle zur weiteren Bearbeitung, ohne sich auf die vorhandene Indizierung auszuwirken. Die verbleibenden Absätze fügen die Informationen hinzu, die für die korrekte Verarbeitung von
Health Log Analytics erforderlich sind.
Hinweis: Sie können sensible Daten verschleiern, indem Sie hier eine Transformation hinzufügen und dann den Absatz des geklonten Quelltyps in der Datei props.conf ändern.
[accepted_keys]
#Custom field for preserving sourcetype
hla_sourcetype_preservation=_hla_sourcetype
#Store sourcetype in a custom field, since CLONE_SOURCETYPE overwrites it
[clone_for_hla_store_sourcetype]
SOURCE_KEY = MetaData:Sourcetype
REGEX = ^sourcetype::(.+)$
FORMAT = hla_sourcetype::$1
DEST_KEY = _hla_sourcetype
[clone_for_hla]
REGEX=.
DEST_KEY = _TCP_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_tcp
#Only used in case of UDP forwarding
[clone_for_hla_udp]
REGEX=.
DEST_KEY = _SYSLOG_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_udp
#Add metadata to the log message, since metadata is lost when forwarding externally
[health_log_analytics_add_sourcetype]
SOURCE_KEY = _hla_sourcetype
REGEX = ^hla_sourcetype::(.+)$
FORMAT = sourcetype="$1"] $0
DEST_KEY = _raw
[health_log_analytics_add_host]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = host="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_source]
SOURCE_KEY = MetaData:Source
REGEX = ^source::(.+)$
FORMAT = source="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_syslog5424]
REGEX=.
FORMAT = - - [sdid@1234 $0
DEST_KEY = _raw
[health_log_analytics_add_index]
SOURCE_KEY = _MetaData:Index
REGEX = ^(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_syslogHost]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_time]
SOURCE_KEY = _time
REGEX = ^(.+)$
FORMAT = <182>1 $1 $0
DEST_KEY = _raw
-
Starten Sie auf der Registerkarte Finish.conf Splunk neu, indem Sie den Befehl
$SPLUNK_HOME/bin/splunk restart splunkd ausführen.
-
Wählen Sie Speichern.
Health Log Analytics fügt den Dateneingabedatensatz in die Dateneingabentabelle ein.
-
Stellen Sie sicher, dass die Dateneingabe richtig konfiguriert ist, indem Sie Verbindung testenauswählen.
Health Log Analytics versucht, den MID-Server mit dem Daten-Repository zu verbinden.
Hinweis: Sie können zur zuletzt veröffentlichten Konfiguration zurückkehren, indem Sie Changes rückgängig machenauswählen. Diese Option ist nur verfügbar, wenn Sie eine zuvor veröffentlichte -Konfiguration ändern.
-
Wählen Sie Veröffentlichen aus, um die Dateneingabe im MID-Serverzu veröffentlichen.