상태 로그 분석 에서 , RsyslogFilebeat, 또는 Winlogbeat데이터 입력을 수동으로 구성합니다.

, Filebeat또는 Winlogbeat 에이전트를 사용하여 Rsyslog로그 메시지를 인스턴스에 스트리밍하기 ServiceNow 위한 데이터 입력을 설정합니다.

시작하기 전에

• 로그 수집 기능이 활성화된 상태로 MID 서버 설치 및 구성되어 있는지 확인합니다. 자세한 내용은 MID Server system requirements 문서를 참조하십시오.

  

  중요사항:

  상태 로그 분석는 IPv6를 지원하지 않습니다. 애플리케이션을 사용하려면 MID 서버를 IPv4로 구성합니다.
• 외부 클라이언트와 외부 클라이언트가 동일한 네트워크에 MID 서버 있지 않는 한 MID 서버 공용 IP 주소가 있어야 합니다. 이는 IP가 NAT(네트워크 주소 변환), 부하 분산 장치 또는 이와 유사한 장치를 통해 노출되는 경우에 필요합니다. 공용 IP 주소를 사용하면 네트워크 외부에 있는 에이전트와 같은 Filebeat 외부 클라이언트가 에 연결할 수 있습니다 MID 서버. 개인 IP 주소는 인터넷을 통해 라우팅할 수 없습니다. 공용 IP가 없으면 외부 클라이언트가 해당 주소로 구성되어 있더라도 연결할 MID 서버 수 없습니다. MID 서버 속성에서 공용 IP 주소가 있는 mid.public_ip 속성을 값으로 추가합니다. 자세한 내용은 MID 서버 속성 만들기를 참조하십시오. MID 서버 외부 클라이언트와 외부 클라이언트가 동일한 네트워크에 있으면 개인 IP 주소를 사용하여 연결할 수 있습니다.
• SSL TLS를 사용하여 암호화된 로그를 배송하려면 지식베이스에서 Now SupportSSL을 사용하여 Rsyslog 및 Filebeat로 데이터 스트리밍 [KB0866319] 문서를 참조하십시오.

필요한 역할: evt_mgmt_admin

프로시저

1. 다음으로 이동 모두 > 상태 로그 분석 > 데이터 입력 > 데이터 입력.
2. 데이터 입력 페이지에서 새로 만들기를 선택합니다.
3. 테이블에 설명된 사용 가능한 데이터 입력 유형에서 생성할 데이터 입력 유형을 선택합니다.
   주:

   선택한 데이터 입력 유형은 수동 데이터 입력(수신기)을 보완합니다. 자세한 내용은 지원되는 데이터 입력을 참조하세요.

   표 1. 데이터 입력 유형

   유형	설명
   Rsyslog	Rsyslog 에이전트를 사용하여 UNIX 기반 서버의 로그 메시지를 ServiceNow AI 엔진으로 스트리밍합니다.
   Linux 사용 Filebeat	에이전트를 사용하여 시스템 로그 메시지와 로컬 파일을 Linux 서버에서 인스턴스로 스트리밍합니다 Filebeat .
   Windows 애플리케이션 로그 사용 Filebeat	에이전트를 사용하여 Microsoft Windows 장치에서 인스턴스로 로컬 파일을 스트리밍합니다 ServiceNowFilebeat .
   Windows 사용하는 OS Winlogbeat	에이전트를 사용하여 이벤트 로그를 인스턴스로 ServiceNow 스트리밍 Windows 합니다Winlogbeat.

4. 시작하기 탭에서 양식을 작성합니다.

   필드에 대한 설명은 Rsyslog, Filebeat 또는 Winlogbeat 데이터 입력 구성 필드 문서를 참조하십시오.

   주:

   를 사용하여 FilebeatLinux에 대한 데이터 입력을 만들 때 컨텐츠 팩 드롭다운에서 컨텐츠 팩을 선택할 수 있습니다. 컨텐츠 팩에는 기본 소스 유형과 매핑 스크립트 템플릿이 포함되어 있어 처음부터 새로 드는 것에 비해 시간을 절약할 수 있습니다. 자세한 내용은 상태 로그 분석 컨텐츠 팩으로 가치 실현 기간 단축 문서를 참조하십시오.
5. , 또는 에이전트가 아직 설치되지 않은 경우 설치 탭에서 다운로드하여 설치합니다.WinlogbeatFilebeatRsyslog
   설치 지침은 해당 에이전트의 제품 설명서를 참조하십시오.

   주:

   에이전트의 최신 버전을 실행하십시오. 이전 버전에서도 작동하지만 기능이 제한적입니다.
6. 태그 지정 및 바인딩 탭에서 의 서비스 인스턴스 구성 관리 데이터베이스(CMDB) 에 로그를 할당하여 서비스가 로그 데이터와 상관관계를 지정하고 시스템에서 근본 원인 분석을 수행할 수 있도록 합니다.
   1. 각 소스에 대해 스트리밍할 로그의 경로와 서비스 인스턴스를 구성합니다.
      주:

      기본적으로 필수 필드인 경로 및 서비스 인스턴스 만 표시됩니다.

      필드에 대한 설명은 Rsyslog, Filebeat 또는 Winlogbeat 데이터 입력 구성 필드 문서를 참조하십시오.

   2. 를 사용하여 Filebeat여러 줄 로그를 전송하려면 여러 줄의 텍스트에 걸쳐 있는 메시지를 처리하는 방법을 Filebeat 제어하는 속성을 구성합니다.

      필드	설명
      일치	일치하는 라인을 이벤트에 결합하는 방법을 Filebeat 지정합니다.
      부정	로그 줄에서 식별한 패턴을 부정할지 여부를 정의합니다.
      정규 표현식	일치시킬 정규 표현식을 지정합니다.

      주:

      상태 로그 분석는 현재 에 대한 다중 라인 속성을 지원하지 않습니다.Rsyslog
   3. 옵션: 데이터 입력이 여러 경로의 로그 유형을 스트리밍할 수 있도록 추가 로그 경로를 정의합니다.
      각 추가 로그 경로에 다음을 수행합니다.

      1. 새 행을 삽입합니다.
      2. 로그 경로를 구성합니다.
      3. 서비스 인스턴스를 선택합니다.
      4. (옵션) 구성요소 및 소스 유형을 선택합니다.

      주:

      를 사용할 Winlogbeat때는 이벤트 로그를 스트리밍 Windows 하므로 상태 로그 분석 이 옵션을 사용할 수 없거나 필요하지 않습니다.
7. 마침 탭에서 데이터 입력 유형에 대한 구성을 완료합니다.
   • Rsyslog:
     1. 구성 파일을 다운로드하여 엔드포인트 장치의 /etc/rsyslog.d/rsyslog.conf 디렉터리에 설치합니다.
        주:

        상태 로그 분석 애플리케이션, 버전 20.0.11 - 2021년 7월, ServiceNow Store에서 사용 가능 대신 다음을 사용하는 경우 다음을 수행합니다.

        1. 엔드포인트 장치에서 /etc/rsyslog.d/ 디렉터리에 구성 파일을 설치합니다.
        2. sudo mkdir -p/var/spool/rsyslog 명령을 실행하여 스풀 디렉터리를 생성합니다.
     2. rsyslogd -N1 명령을 실행하여 구성을 확인하고 출력을 확인합니다.
     3. sudo systemctl restart rsyslog 명령을 실행하여 다시 시작합니다Rsyslog.
     4. 출력을 검증합니다. 오류가 포함되어 있는 경우 /var/log/messages 시스템 로그 파일에서 오류 메시지를 확인하고 오류를 수정합니다.
   • Linux 사용 Filebeat:
     1. 구성 파일을 다운로드하여 엔드포인트 장치의 /etc/filebeat/ 디렉터리에 설치합니다.
     2. sudo service filebeat start 명령을 실행하여 에이전트 서비스를 시작합니다.
        주:

        생성된 구성은 변경된 지 6시간을 초과한 파일을 무시합니다. 필요한 경우 구성에서 이 설정을 변경할 수 있습니다.
     3. 적절한 명령을 실행하여 에이전트 서비스를 다시 시작합니다.
   • Windows 사용 Beats (Filebeat 또는 Winlogbeat):
     1. 구성 파일을 다운로드하여 엔드포인트 장치의 C:\Program Files\ 디렉터리에 설치합니다.
     2. PowerShell에서 적절한 명령을 실행하여 에이전트 서비스를 다시 시작합니다.
        • Filebeat: PS > Start-Service filebeat
        • Winlogbeat: PS > Start-Service winlogbeat
        주:

        생성된 구성은 변경된 지 6시간을 초과한 파일을 무시합니다. 필요한 경우 구성에서 이 설정을 변경할 수 있습니다.
     3. 적절한 명령을 실행하여 에이전트 서비스를 다시 시작합니다.
8. 저장을 선택합니다.
   상태 로그 분석가 데이터 입력 테이블에 데이터 입력 기록을 추가합니다.
9. 연결 테스트를 선택하여 데이터 입력이 올바르게 구성되었는지 확인합니다.

   상태 로그 분석가 MID 서버를 데이터 리포지토리에 연결하려고 시도합니다.

   • 연결이 설정된 경우 연결 테스트 버튼이 꺼지고 게시 버튼이 활성화됩니다.
   • 연결에 실패하면 오류 메시지 필드에 실패한 이유가 표시됩니다. 이 필드는 스트리밍 오류가 발생한 경우에만 표시됩니다.

     문제를 해결하고, 구성을 수정한 경우 저장을 선택한 다음, 연결 테스트를 선택하여 연결을 다시 테스트합니다.

     주:

     연결이 성공적으로 생성되는 경우에만 데이터 입력 구성을 게시할 수 있습니다.

   주:

   변경 사항 되돌리기를 선택하여 마지막으로 게시된 구성으로 되돌릴 수 있습니다. 이 옵션은 이전에 게시된 구성을 수정하는 경우에만 사용할 수 있습니다.
10. 게시를 선택하여 데이터 입력을 에 게시합니다.MID 서버

결과

데이터 입력 구성 프로세스가 완료되었습니다. 상태 로그 분석 가 데이터 입력 테이블에 데이터 입력 기록을 추가하고 데이터 입력 기록에 구성 파일을 첨부합니다. 데이터 입력이 로그 데이터를 인스턴스로 스트리밍하기 ServiceNow 시작합니다.

주:

새 Filebeat 데이터 입력에 대해 생성되는 구성 파일은 상태 로그 분석 버전 7.14 이상과 Filebeat 호환됩니다. 현재 지원되는 최소 Filebeat 버전은 Elasticsearch 7.17이며, EOL(수명 종료)에 가까워지고 있습니다.

의 HLA 기존 Filebeat 데이터 입력 구성 파일은 최대 8.x 버전과 호환됩니다Filebeat. 버전 9.0 이상의 경우 Filebeat 로그 입력에서 파일 스트림 입력으로 마이그레이션하거나 새 구성 파일을 생성합니다. 마이그레이션 프로세스에 대한 자세한 내용은 다음을 참조하십시오. Filebeat 설명서.

주:

HLA 엔진이 다운되고 데이터 스트리밍이 중지되면 데이터 입력 구성 페이지 상단에 알림이 나타납니다. 이러한 경우 ServiceNow 지원 센터에 문의하십시오.

다음에 수행할 작업

데이터 입력이 스트리밍 데이터인지 확인하십시오.

관련 태스크

• 상태 로그 분석 에서 , Splunk또는 TCP 데이터 입력에 대한 Rsyslog고급 설정을 수동으로 구성합니다.
• 상태 로그 분석 에서 데이터 입력에 대한 Beats고급 설정을 수동으로 구성합니다.