Splunk Heavy Forwarder を使用して、ログメッセージを ServiceNow インスタンスにストリーミングするためのデータ入力を設定します。
始める前に
必要なロール：evt_mgmt_admin
このタスクについて
このセットアップ手順は、Splunk Heavy Forwarder を使用してインスタンスにログをストリーミングするための手順です。Heavy Forwarder が使用できない場合は、代わりに Splunk Universal Forwarder を使用できます。詳細については、Now Support ナレッジベースの「送信手段としての Splunk Universal Forwarder (Splunk Universal Forwarder as a Shipping method) [KB0961378]」を参照してください。
Yokohama ファミリーリリース以降、新しい Splunk データ入力を使用して、Splunk がデフォルトで使用する前処理された (「クック済み」) ログ転送形式でデータを取り込むことができるようになりました。クック済みモードでは、 Splunk フォワーダーは、ホスト、ソースタイプ、ソース、その他の設定などの構成の詳細をログデータに埋め込みます。この形式でデータを HLA に取り込むと、関連するすべてのコンテキスト情報が各ログ行に保持されることを 検証できます。HLA でクック済みデータオプションを使用している場合は、データ入力構成中に props.conf ファイルと transforms.conf ファイルを編集Splunk必要はありません。
注: Splunk のすべての構成ファイルは、$SPLUNK_HOME/etc/system/local/ フォルダーにあります。変更が必要な構成ファイルが存在しない場合は、作成してこのフォルダーに保存してください。
注: MID サーバー が停止すると、Splunk パイプラインがブロックされる可能性があります。満杯の処理キューはパイプラインに影響しません。
手順
-
移動先 .
-
[データ入力 (Data Inputs)] ページで、[新規] を選択します。
-
Splunk Heavy Forwarder または Universal Forwarder を介してログをストリーミングするための Splunk データ入力を選択します。
-
[はじめに (Getting Started)] タブで、フォームフィールドに入力します。
-
[Outputs.conf] タブで、次のスタンザを outputs.conf ファイルに追加して、選択したポートの選択した転送プロトコルで配送業者がログデータを転送するように設定し、[次へ] を選択します。
注: 出力を既に構成している場合は、以下の行を既存の構成と結合します。
-
[Props.conf] タブで props.conf ファイルを編集し、[次へ] を選択します。
注: [はじめに (Getting Started)] タブで [クック済みデータを使用 (Use Cooked Data)] オプションを選択した場合は、props.conf ファイルを編集する必要はありません。
-
既存のスタンザを変更するか、ソースタイプ、サービスインスタンス、および ヘルスログアナリティクス に転送するためのホストをマークするスタンザを追加します。
注: 最良の結果を得るには、転送元のソースタイプのみをマークします。
スタンザを追加する際に、次の名前と形式を使用します。
-
TCP または UDP を介して ヘルスログアナリティクス に転送する各スタンザの末尾に次の行を追加します。
-
次のスタンザを追加して、ヘルスログアナリティクス の処理に必要なすべての関連変換を適用します。
注: Splunk を使用すると、選択したプロトコルのクローンされたソースタイプの機密データを匿名化できます。詳細については、
Splunk のドキュメントの「データの匿名化 (Anonymize data)」セクションを参照してください。
-
[Transforms.conf] タブで、次のスタンザを transforms.conf ファイルに追加し、[次へ] を選択します。
注: [はじめに (Getting Started)] タブで [クック済みデータを使用 (Use Cooked Data)] オプションを選択した場合は、transforms.conf ファイルを編集する必要はありません。
3 番目のスタンザは、既存のインデックス作成に影響を与えずに操作を進めるために、ログのクローンを作成します。残りのスタンザは、正しい ヘルスログアナリティクス 処理の有効化に必要な情報を追加します。
注: ここで変換を追加し、props.conf ファイルにクローン作成されたソースタイプのスタンザを変更することで、機密データを難読化できます。
[accepted_keys]
#Custom field for preserving sourcetype
hla_sourcetype_preservation=_hla_sourcetype
#Store sourcetype in a custom field, since CLONE_SOURCETYPE overwrites it
[clone_for_hla_store_sourcetype]
SOURCE_KEY = MetaData:Sourcetype
REGEX = ^sourcetype::(.+)$
FORMAT = hla_sourcetype::$1
DEST_KEY = _hla_sourcetype
[clone_for_hla]
REGEX=.
DEST_KEY = _TCP_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_tcp
#Only used in case of UDP forwarding
[clone_for_hla_udp]
REGEX=.
DEST_KEY = _SYSLOG_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_udp
#Add metadata to the log message, since metadata is lost when forwarding externally
[health_log_analytics_add_sourcetype]
SOURCE_KEY = _hla_sourcetype
REGEX = ^hla_sourcetype::(.+)$
FORMAT = sourcetype="$1"] $0
DEST_KEY = _raw
[health_log_analytics_add_host]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = host="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_source]
SOURCE_KEY = MetaData:Source
REGEX = ^source::(.+)$
FORMAT = source="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_syslog5424]
REGEX=.
FORMAT = - - [sdid@1234 $0
DEST_KEY = _raw
[health_log_analytics_add_index]
SOURCE_KEY = _MetaData:Index
REGEX = ^(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_syslogHost]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_time]
SOURCE_KEY = _time
REGEX = ^(.+)$
FORMAT = <182>1 $1 $0
DEST_KEY = _raw
-
[Finish.conf] タブで、
$SPLUNK_HOME/bin/splunk restart splunkd コマンドを実行して Splunk を再起動します。
-
[保存] を選択します。
ヘルスログアナリティクス でデータ入力レコードがデータ入力テーブルに追加されます。
-
[テスト接続] を選択して、データ入力が正しく構成されていることを確認します。
ヘルスログアナリティクス は MID サーバー をデータリポジトリに接続しようとします。
注: [変更を元に戻す] を選択すると、最後に公開された構成に戻すことができます。このオプションは、以前に公開された構成を変更する場合にのみ使用できます。
-
データ入力を MID サーバー に公開するには、[公開 (Publish)] を選択します。