Configurer des entrées de données pour Analyse de l'intégrité des journaux manuellement

  • Rversion finale: Yokohama
  • Mis à jour 30 janv. 2025
  • 5 minutes de lecture

    • Configurez vos Analyse de l'intégrité des journaux entrées de données manuellement Analyse de l'intégrité des journaux . La configuration des entrées de données est une étape essentielle dans la configuration de l’application Analyse de l'intégrité des journaux .

    Avant de commencer

    Remarque :
    Envisagez d’utiliser la configuration guidée des Analyse de l'intégrité des journaux entrées de données, qui garantit que vous disposez de la configuration minimale requise pour le processus d’entrée de données. Pour plus d'informations, consultez Configurer les entrées de données à l’aide de Analyse de l'intégrité des journaux la configuration guidée.
    • Vérifiez que a Serveur MID est installé et configuré avec l’aptitude d’ingestion de journal activée. Pour plus d'informations, consultez MID Server system requirements.

      Configuration du serveur MID avec l’aptitude d’ingestion de journal activée.

      Important :
      Analyse de l'intégrité des journaux ne prend pas en charge IPv6. Pour utiliser l’application, configurez le Serveur MID en IPv4.
    • À moins que les Serveur MID clients externes ne se trouvent sur le même réseau, ils Serveur MID doivent avoir une adresse IP publique. Cela est nécessaire lorsque son adresse IP est exposée via la traduction d’adresses réseau (NAT), un équilibreur de charge ou un appareil similaire. L’adresse IP publique permet aux clients externes, tels que les Filebeat agents situés en dehors de son réseau, d’atteindre le Serveur MID. Les adresses IP privées ne sont pas routables sur Internet. Sans adresse IP publique, les clients externes ne peuvent pas se connecter au Serveur MID même s’ils sont configurés avec son adresse. Dans les Serveur MID propriétés, ajoutez une propriété nommée mid.public_ip avec l’adresse IP publique comme valeur. Pour plus d’informations, voir Création d’une propriété de serveur MID. Si les clients et les Serveur MID clients externes se trouvent sur le même réseau, les connexions peuvent être établies à l’aide de l’adresse IP privée.
    • Pour expédier vos journaux chiffrés à l’aide de SSL TLS, consultez l’article Diffuser des données avec Rsyslog et Filebeat à l’aide de SSL [KB0866319] dans la Now Support base de connaissances.

    Rôle requis : evt_mgmt_admin. Pour l’entrée de données des ServiceNow journaux système : admin.

    Procédure

    1. Configurez une entrée de données en exécutant la procédure pertinente décrite dans la documentation du produit.
      Tableau 1. Entrées de données
      Entrée de données Description
      Rsyslog ou Beats L’entrée de données diffuse les données de journal dans votre instance à l’aide de Rsyslog ou Beats.
      Splunk L’entrée de données diffuse les données de journal dans votre instance à l’aide de Splunk.
      Interrogation Splunk L’entrée de données extrait périodiquement les données du journal à l’aide d’une Splunk requête.
      Elasticsearch L’entrée de données extrait les données de journal des Elasticsearch index vers votre instance.
      TCP L’entrée de données envoie des messages de journal bruts à votre instance directement via une embase TCP/SSL.
      UDP L’entrée de données diffuse des messages de journal bruts à votre ServiceNow instance directement via une embase UDP.
      GCP Pub/Sub L’entrée de données reçoit les messages de journal publiés dans une Google Cloud rubrique Pub/Sub et les diffuse vers votre ServiceNow instance.
      Serveur MID L’entrée de données collecte les Serveur MID fichiers journaux et les diffuse vers votre instance.
      Amazon CloudWatch L’entrée de données diffuse les données de Amazon CloudWatch journal vers votre ServiceNow instance.
      Amazon S3 L’entrée de données diffuse les données de journal des Amazon S3 catégories (Simple Storage Service) vers votre ServiceNow instance.
      Microsoft Azure Log Analytics L’entrée de données diffuse les données de Microsoft Azure Log Analytics journal vers votre ServiceNow instance.
      Microsoft Azure Event Hubs L’entrée de données diffuse les événements depuis Microsoft Azure Event Hubs vers votre ServiceNow instance.
      Apache Kafka L’entrée de données diffuse les données de Apache Kafka journal vers votre ServiceNow instance.
      REST API L’entrée de données diffuse les données de journal vers votre ServiceNow instance au format JSON.
      Récupérateur de journaux système ServiceNow L’entrée de données diffuse les données de journal de la ServiceNow table Journal système au Analyse de l'intégrité des journaux moteur d’IA.
      Remarque :
      Une seule ServiceNow entrée de données de récupérateur de journaux système peut exister dans le système, et seuls les utilisateurs disposant du rôle administrateur peuvent la créer et la configurer. Cette entrée de données ne s’exécute pas sur un Serveur MID.
      Cribl L’entrée de données permettant de traiter les messages du journal Cribl qui circulent Analyse de l'intégrité des journaux dans votre ServiceNow instance.
      Edge Delta L’entrée de données permet Analyse de l'intégrité des journaux de traiter les messages de journal Edge Delta transmis en continu dans votre ServiceNow instance.
      Agent vectoriel L’entrée de données permet Analyse de l'intégrité des journaux de traiter les messages de journal qui sont transmis à votre ServiceNow instance via un agent vectoriel.
      Agent Client Collector L’entrée de données diffuse des messages de journal à votre instance à l’aide ServiceNow du ServiceNow Agent Client Collector fichier .

      Cette entrée de données est prise en charge pour une utilisation avec l’application Agent Client Collector Analyse de journaux , disponible dans le ServiceNow Store.
      Remarque :
      La sélection de Test de la connexion à la fin de la procédure garantit que votre entrée de données est correctement configurée. Vous ne pouvez publier une configuration d’entrée de données que lorsque la connexion entre le Serveur MID et le référentiel de données a été établie.
    2. Identifiez et résolvez les problèmes de diffusion pour vous assurer que l’entrée de données est bien celle du journal de diffusion vers Serveur MID toutes les sources.
      Pour plus d'informations, consultez Identifier et résoudre les problèmes de diffusion des journaux.
    3. Facultatif : Modifiez les données de journal brutes avant de Analyse de l'intégrité des journaux les mapper et de les structurer.
      Pour plus d’informations, consultez Modifier vos données de journal brutes avant traitement.
    4. Déterminez la manière dont Analyse de l'intégrité des journaux les données de journal brutes sont diffusées dans votre instance.
      Par défaut, chaque ligne de journal entrante est automatiquement mappée à la balise appropriée. Si les propriétés ne sont pas détectées automatiquement, mappez manuellement les sources d’entrée de données en définissant une fonction JavaScript. Pour plus d’informations, consultez Mapper les données brutes.
    5. Facultatif : Modifiez la structure du type de source pour vous assurer qu’elle Analyse de l'intégrité des journaux extrait et classe toutes les propriétés correctement.
      Pour plus d'informations, consultez Affiner la structure du type de source.
    6. Facultatif : Effectuez des tâches de configuration d’entrée de données supplémentaires.
      Pour plus d'informations, consultez Tâches de configuration des entrées de données supplémentaires.