--- sourceDocument: Xanadu IT Operations Management sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/ja-JP/xanadu/it-operations-management Release : - xanadu ft:locale : - ja-JP ft:publication_title : - Xanadu IT Operations Management ft:clusterId : - itom bundleId : - itom workflow : - Technology --- # データ入力を設定 (Splunk) # データ入力を設定 (Splunk) {#ariaid-title1} * リリースバージョン: Xanadu * * 更新日 2024年08月01日 * * ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 所要時間：11分 Splunk Heavy Forwarder を使用して、ServiceNow インスタンスにログメッセージをストリーミングできるようにデータ入力を設定します。 データ入力の構成は、 ヘルスログアナリティクス (HLA) アプリケーションを設定する上で不可欠な手順です。 ## 始める前に 重要: ヘルスログアナリティクス は IPv6 をサポートしていません。アプリケーションを操作するには、MID サーバーを IPv4 に設定します。 * [MID サーバー](https://www.servicenow.com/docs/access?context=r_MIDServerSystemRequirements&version=xanadu&pubname=xanadu-servicenow-platform&ft:locale=en-US)がインストールされ、ログ取り込み機能を有効にして設定されていることを確認します。 * MID サーバー の IP アドレスがネットワークアドレス変換 (NAT)、ロードバランサー、または同様のデバイスで公開される場合は、パブリック IP アドレスが必要です。MID サーバー プロパティで、パブリック IP アドレスを値として指定する mid.public_ip というプロパティを追加します。詳細については、「[MID サーバープロパティの作成](https://www.servicenow.com/docs/access?context=r_MIDServerProperties&version=xanadu&pubname=xanadu-servicenow-platform§ion=t_SetMIDServerProperties&ft:locale=en-US)」を参照してください。 * SSL TLS を使用して暗号化されたログの送付の詳細については、Now Support ナレッジベースの「[Rsyslog と Filebeat による SSL を利用したデータストリーミング (Streaming Data With Rsyslog \& Filebeat Using SSL) \[KB0866319\]](https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB0866319)」の記事を参照してください。 {#hla-data-input-splunk__ul_ql4_dhx_lnb} * Syslog を使用して、ServiceNow インスタンスにログを転送するように Splunk を設定します。 * このデータ入力の構成は、$SPLUNK_HOME という名前の環境変数が存在することを前提としています。UNIX 系の環境では、通常、この変数は /opt /splunk をポイントしています。 注: Windows 環境では、ディレクトリ構造は同じですが、バックスラッシュ (\\) が使用されます。 {#hla-data-input-splunk__ul_v3z_vg4_nnb} 必要なロール：evt_mgmt_admin ## このタスクについて このセットアップ手順は、Splunk Heavy Forwarder を使用してインスタンスにログをストリーミングするための手順です。Heavy Forwarder が使用できない場合は、代わりに Universal Forwarder を使用できます。詳細については、Now Support ナレッジベースの「[送信手段としての Splunk Universal Forwarder (Splunk Universal Forwarder as a Shipping method) \[KB0961378\]](https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB0961378)」を参照してください。 注: MID サーバー が停止すると、Splunk パイプラインがブロックされる可能性があります。満杯の処理キューはパイプラインに影響しません。 注: Splunk のすべての構成ファイルは、$SPLUNK_HOME/etc/system/local/ フォルダーにあります。変更が必要な構成ファイルが存在しない場合は、作成してこのフォルダーに保存してください。 ## 手順 1. 移動先 すべてHealth Log Analytics (ヘルスログアナリティクス)データ入力データ入力. 2. \[データ入力 (Data Inputs)\] ページで、\[新規\] を選択します。 3. Splunk データ入力を選択します。 4. \[はじめに (Getting Started)\] タブで、フォームフィールドに入力します。 フィールドの説明については、「[Splunk データ入力構成フィールド](https://servicenow-prod.fluidtopics.net/wbaAP5ePsgnZOJ4miormCQ "Splunk のデータ入力構成フォームのフィールドについて説明します。")」を参照してください。 5. \[Outputs.conf\] タブで、次のスタンザを outputs.conf ファイルに追加して、選択したポートの選択した転送プロトコルで配送業者がログデータを転送するように設定し、\[次へ\] を選択します。 注: 出力を既に構成している場合は、以下の行を既存の構成と結合します。 * TCP を介した転送の場合： 注: 最初のスタンザは、tcpout スタンザをまだ構成していない場合にのみ使用します。TCP を介してヘルスログアナリティクスに転送するには、2 番目のスタンザが必要となります。 [tcpout] indexAndForward = 1 defaultGroup = nothing [tcpout:health_log_analytics] server = ip-172-31-17-121.us-east-2.compute.internal:5000 sendCookedData = false compressed = false * UDP を介した転送の場合： 注: 最初のスタンザは、syslog スタンザをまだ構成していない場合にのみ使用します。UDP を介して ヘルスログアナリティクス に転送するには、2 番目のスタンザが必要となります。 [syslog]defaultGroup = nothing [syslog:health_log_analytics] server = ip-172-31-17-121.us-east-2.compute.internal:5000 {#hla-data-input-splunk__choices_eqr_dwt_prb} 6. \[Props.conf\] タブで props.conf ファイルを編集し、\[次へ\] を選択します。 1. 既存のスタンザを変更するか、ヘルスログアナリティクス に転送するためのソースタイプ、アプリケーションサービス、およびホストをマークするスタンザを追加します。 注: 最良の結果を得るには、転送元のソースタイプのみをマークします。 スタンザを追加する際に、次の名前と形式を使用します。 * ソースタイプ：\[\\]。例：\[syslog\] * ソース (非推奨)：\[source::\\]。例：\[source::myApp\] * ホスト (非推奨)：\[host::\<ホスト\>\]。例：\[host::10.9.8.7\] {#hla-data-input-splunk__ul_xn1_2mn_d4b} 2. TCP または UDP を介して ヘルスログアナリティクス に転送する各スタンザの末尾に次の行を追加します。 * TCP を介した転送の場合： TRANSFORMS-cloned_data = clone_for_hla_store_sourcetype, clone_for_hla * UDP を介した転送の場合： TRANSFORMS-cloned_data = clone_for_hla_store_sourcetype, clone_for_hla_udp この行は、ヘルスログアナリティクス 処理に必要な操作が既存のデータパイプラインに影響しないように、データに CLONE_SOURCETYPE 変換を適用します。たとえば、すべてのログをソースタイプ「syslog」から ヘルスログアナリティクス に送信するには、次のようにします。 [syslog] #existing configuration goes here TRANSFORMS-cloned_data = clone_for_hla_store_sourcetype, clone_for_hla_udp {#hla-data-input-splunk__ol_fks_tln_d4b} 3. 次のスタンザを追加して、ヘルスログアナリティクス の処理に必要なすべての関連変換を適用します。 注: Splunk を使用すると、選択したプロトコルのクローンされたソースタイプの機密データを匿名化できます。詳細については、[Splunk のドキュメント](https://docs.splunk.com/Documentation)の「データの匿名化 (Anonymize data)」セクションを参照してください。 * TCP を介した転送の場合： [send_to_hla_tcp] TRANSFORMS-health_log_analytics = health_log_analytics_add_sourcetype, health_log_analytics_add_host, health_log_analytics_add_source, health_log_analytics_add_syslog5424, health_log_analytics_add_index, health_log_analytics_add_syslogHost, health_log_analytics_add_time * UDP を介した転送の場合： [send_to_hla_udp] TRANSFORMS-health_log_analytics = health_log_analytics_add_sourcetype, health_log_analytics_add_host, health_log_analytics_add_source, health_log_analytics_add_syslog5424, health_log_analytics_add_index, health_log_analytics_add_syslogHost, health_log_analytics_add_time {#hla-data-input-splunk__ul_qgp_mzt_prb} {#hla-data-input-splunk__substeps_fcg_pcn_d4b} 7. \[Transforms.conf\] タブで、次のスタンザを transforms.conf ファイルに追加し、\[次へ\] を選択します。 3 番目のスタンザは、既存のインデックス作成に影響を与えずに操作を進めるために、ログのクローンを作成します。残りのスタンザは、正しい ヘルスログアナリティクス 処理の有効化に必要な情報を追加します。 注: ここで変換を追加し、props.conf ファイルにクローン作成されたソースタイプのスタンザを変更することで、機密データを難読化できます。 [accepted_keys] #Custom field for preserving sourcetype hla_sourcetype_preservation=_hla_sourcetype #Store sourcetype in a custom field, since CLONE_SOURCETYPE overwrites it [clone_for_hla_store_sourcetype] SOURCE_KEY = MetaData:Sourcetype REGEX = ^sourcetype::(.+)$ FORMAT = hla_sourcetype::$1 DEST_KEY = _hla_sourcetype [clone_for_hla] REGEX=. DEST_KEY = _TCP_ROUTING FORMAT = health_log_analytics CLONE_SOURCETYPE=send_to_hla_tcp #Only used in case of UDP forwarding [clone_for_hla_udp] REGEX=. DEST_KEY = _SYSLOG_ROUTING FORMAT = health_log_analytics CLONE_SOURCETYPE=send_to_hla_udp #Add metadata to the log message, since metadata is lost when forwarding externally [health_log_analytics_add_sourcetype] SOURCE_KEY = _hla_sourcetype REGEX = ^hla_sourcetype::(.+)$ FORMAT = sourcetype="$1"] $0 DEST_KEY = _raw [health_log_analytics_add_host] SOURCE_KEY = MetaData:Host REGEX = ^host::(.+)$ FORMAT = host="$1" $0 DEST_KEY = _raw [health_log_analytics_add_source] SOURCE_KEY = MetaData:Source REGEX = ^source::(.+)$ FORMAT = source="$1" $0 DEST_KEY = _raw [health_log_analytics_add_syslog5424] REGEX=. FORMAT = - - [sdid@1234 $0 DEST_KEY = _raw [health_log_analytics_add_index] SOURCE_KEY = _MetaData:Index REGEX = ^(.+)$ FORMAT = $1 $0 DEST_KEY = _raw [health_log_analytics_add_syslogHost] SOURCE_KEY = MetaData:Host REGEX = ^host::(.+)$ FORMAT = $1 $0 DEST_KEY = _raw [health_log_analytics_add_time] SOURCE_KEY = _time REGEX = ^(.+)$ FORMAT = <182>1 $1 $0 DEST_KEY = _raw 8. \[Finish.conf\] タブで、`$SPLUNK_HOME/bin/splunk restart splunkd` コマンドを実行して Splunk を再起動します。 9. \[保存\] を選択します。 ヘルスログアナリティクス でデータ入力レコードがデータ入力テーブルに追加されます。 10. \[テスト接続\] を選択して、データ入力が正しく構成されていることを確認します。 ヘルスログアナリティクス は MID サーバー をデータリポジトリに接続しようとします。 * 接続が確立された場合、\[テスト接続\] ボタンがオフになり、\[公開 (Publish)\] ボタンが有効になります。 * 接続に失敗した場合は、失敗の理由が \[エラーメッセージ\] フィールドに表示されます。このフィールドは、ストリーミングエラーが発生した場合にのみ表示されます。 問題を解決し、構成を変更した場合は \[保存\] を選択し、\[テスト接続\] を選択して接続を再度テストします。 注: 接続が正常に作成された場合にのみ、データ入力構成を公開できます。 {#hla-data-input-splunk__ul_z2d_sxt_r5b} 注: \[変更を元に戻す\] を選択すると、最後に公開された構成に戻すことができます。このオプションは、以前に公開された構成を変更する場合にのみ使用できます。 11. データ入力を MID サーバー に公開するには、\[公開 (Publish)\] を選択します。 ## タスクの結果 データ入力構成プロセスが完了しました。 ヘルスログアナリティクス は、データ入力レコードを データ入力 テーブルに追加し、構成ファイルをデータ入力レコードに添付します。データ入力により、Splunkシッパーを使用してServiceNowインスタンスへのログデータストリーミングが開始されます。 ## 次のタスク [データ入力がストリーミングデータであることを確認します。](https://servicenow-prod.fluidtopics.net/iSgMcIvI~iCSHCguqutOzQ "ログストリーミングの問題を特定して対処し、 ヘルスログアナリティクス 用に構成したデータ入力が ServiceNow インスタンスに適切にデータをストリーミングしていることを確認します。") * **[Splunk データ入力構成フィールド](https://servicenow-prod.fluidtopics.net/wbaAP5ePsgnZOJ4miormCQ)** Splunk のデータ入力構成フォームのフィールドについて説明します。 **関連タスク** * [Rsyslog、 Splunk、または TCP データ入力の詳細設定の構成](https://servicenow-prod.fluidtopics.net/T47NI64NQlyXtQLLjyFx9Q "Rsyslog、 Splunk、または TCP を使用するデータ入力の詳細設定を構成します。")