Splunk Heavy Forwarder を使用して、ServiceNow インスタンスにログメッセージをストリーミングできるようにデータ入力を設定します。
始める前に
必要なロール：evt_mgmt_admin
このタスクについて
このセットアップ手順は、Splunk Heavy Forwarder を使用してインスタンスにログをストリーミングするための手順です。Heavy Forwarder を使用できない場合は、代わりに Splunk Universal Forwarder を使用できます。詳細については、Now Support ナレッジベースの「送信手段としての Splunk Universal Forwarder (Splunk Universal Forwarder as a Shipping method) [KB0961378]」を参照してください。
Yokohama ファミリーリリース以降では、新しいSplunkデータ入力を使用して、Splunk がデフォルトで使用する前処理済み (「クック済み」) ログ転送形式でデータを取り込むことができます。クック済みモードでは、 Splunk フォワーダーは、ホスト、ソースタイプ、ソース、その他の設定などの構成の詳細をログデータに埋め込みます。この形式でデータを HLA に取り込むと、関連するすべてのコンテキスト情報が各ログ行に保持されます。HLA でクック済みデータオプションを使用している場合は、データ入力構成中に props.conf ファイルと transforms.conf ファイルを編集Splunk必要はありません。
注: Splunk のすべての構成ファイルは、$SPLUNK_HOME/etc/system/local/ フォルダーにあります。変更が必要な構成ファイルが存在しない場合は、作成してこのフォルダーに保存してください。
注: MID サーバー が停止すると、Splunk パイプラインがブロックされる可能性があります。満杯の処理キューはパイプラインに影響しません。
手順
-
次のように移動する。 .
-
[データ入力 (Data Inputs)] ページで、[新規] を選択します。
-
Splunk Heavy Forwarder または Universal Forwarder を介してログをストリーミングするにはSplunkデータ入力を選択します。
-
[はじめに (Getting Started)] タブで、フォームフィールドに入力します。
-
[Outputs.conf] タブで、次のスタンザを outputs.conf ファイルに追加して、選択したポートの選択した転送プロトコルで配送業者がログデータを転送するように設定し、[次へ] を選択します。
注: 出力を既に構成している場合は、以下の行を既存の構成と結合します。
-
[Props.conf] タブで props.conf ファイルを編集し、[次へ] を選択します。
注: [はじめに] タブで [クック済みデータを使用] オプションを選択した場合は、props.conf ファイルを編集する必要はありません。
-
既存のスタンザを変更するか、スタンザを追加して、 ヘルスログアナリティクスに転送するソースタイプ、サービスインスタンス、およびホストをマークします。
注: 最良の結果を得るには、転送元のソースタイプのみをマークします。
スタンザを追加する際に、次の名前と形式を使用します。
-
TCP または UDP を介して ヘルスログアナリティクス に転送する各スタンザの末尾に次の行を追加します。
-
次のスタンザを追加して、ヘルスログアナリティクス の処理に必要なすべての関連変換を適用します。
注: Splunk を使用すると、選択したプロトコルのクローンされたソースタイプの機密データを匿名化できます。詳細については、
Splunk のドキュメントの「データの匿名化 (Anonymize data)」セクションを参照してください。
-
[Transforms.conf] タブで、次のスタンザを transforms.conf ファイルに追加し、[次へ] を選択します。
注: [はじめに] タブで [クック済みデータを使用] オプションを選択した場合は、transforms.conf ファイルを編集する必要はありません。
3 番目のスタンザは、既存のインデックス作成に影響を与えずに操作を進めるために、ログのクローンを作成します。残りのスタンザは、正しい ヘルスログアナリティクス 処理の有効化に必要な情報を追加します。
注: ここで変換を追加し、props.conf ファイルにクローン作成されたソースタイプのスタンザを変更することで、機密データを難読化できます。
[accepted_keys]
#Custom field for preserving sourcetype
hla_sourcetype_preservation=_hla_sourcetype
#Store sourcetype in a custom field, since CLONE_SOURCETYPE overwrites it
[clone_for_hla_store_sourcetype]
SOURCE_KEY = MetaData:Sourcetype
REGEX = ^sourcetype::(.+)$
FORMAT = hla_sourcetype::$1
DEST_KEY = _hla_sourcetype
[clone_for_hla]
REGEX=.
DEST_KEY = _TCP_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_tcp
#Only used in case of UDP forwarding
[clone_for_hla_udp]
REGEX=.
DEST_KEY = _SYSLOG_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_udp
#Add metadata to the log message, since metadata is lost when forwarding externally
[health_log_analytics_add_sourcetype]
SOURCE_KEY = _hla_sourcetype
REGEX = ^hla_sourcetype::(.+)$
FORMAT = sourcetype="$1"] $0
DEST_KEY = _raw
[health_log_analytics_add_host]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = host="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_source]
SOURCE_KEY = MetaData:Source
REGEX = ^source::(.+)$
FORMAT = source="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_syslog5424]
REGEX=.
FORMAT = - - [sdid@1234 $0
DEST_KEY = _raw
[health_log_analytics_add_index]
SOURCE_KEY = _MetaData:Index
REGEX = ^(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_syslogHost]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_time]
SOURCE_KEY = _time
REGEX = ^(.+)$
FORMAT = <182>1 $1 $0
DEST_KEY = _raw
-
[Finish.conf] タブで、
$SPLUNK_HOME/bin/splunk restart splunkd コマンドを実行して Splunk を再起動します。
-
[保存] を選択します。
ヘルスログアナリティクス でデータ入力レコードがデータ入力テーブルに追加されます。
-
[テスト接続] を選択して、データ入力が正しく構成されていることを確認します。
ヘルスログアナリティクス は MID サーバー をデータリポジトリに接続しようとします。
注: [変更を元に戻す] を選択すると、最後に公開された構成に戻すことができます。このオプションは、以前に公開された構成を変更する場合にのみ使用できます。
-
データ入力を MID サーバー に公開するには、[公開 (Publish)] を選択します。