Heavy Forwarder를 Splunk 사용하여 로그 메시지를 ServiceNow 인스턴스에 스트리밍하기 위한 데이터 입력을 설정합니다.
시작하기 전에
필요한 역할: evt_mgmt_admin
이 태스크 정보
이 설정 절차는 무거운 전달자를 사용하여 Splunk 인스턴스로 로그를 스트리밍하기 위한 것입니다. Heavy Forwarder를 사용할 수 없는 경우 대신 Universal Forwarder를 Splunk 사용할 수 있습니다. 자세한 내용은 Now Support 지식베이스의 Splunk Universal Forwarder를 배송 방법으로서의 KB0961378] 문서를 참조하십시오.
제품군 릴리스부터 Yokohama 새 Splunk 데이터 입력을 사용하여 기본적으로 사용되는 전처리("가공된") 로그 전달 형식으로 Splunk 데이터를 수집할 수 있습니다. 조리 모드에서 전달자는 호스트, 소스 유형, Splunk 소스 및 기타 설정과 같은 구성 상세 정보를 로그 데이터에 포함합니다. 이 형식으로 데이터를 HLA 수집하면 각 로그 라인에 모든 관련 컨텍스트 정보가 유지됩니다. 에서 쿠킹된 데이터 옵션을 HLA사용하는 경우 데이터 입력 구성 중에 Splunkprops.conf 및 transforms.conf 파일을 편집할 필요가 없습니다.
주: 모든 Splunk 구성 파일은 $SPLUNK_HOME/etc/system/local/ 폴더에 있습니다. 수정해야 하는 구성 파일이 없는 경우 파일을 생성하여 이 폴더에 저장합니다.
주: MID 서버 다운되면 파이프라인에 Splunk 중단이 발생할 수 있습니다. 전체 처리 큐는 파이프라인에 영향을 주지 않습니다.
프로시저
-
다음으로 이동 .
-
데이터 입력 페이지에서 새로 만들기를 선택합니다.
-
Heavy Forwarder 또는 Universal Forwarder를 통해 Splunk 로그를 스트리밍할 데이터 입력을 선택합니다Splunk.
-
시작하기 탭에서 양식 필드를 채웁니다.
-
Outputs.conf 탭에서 outputs.conf 파일에 다음 스탠자를 추가하여 전송기가 선택한 포트에서 선택한 전송 프로토콜을 통해 로그 데이터를 전달하도록 하고 다음을 선택합니다.
주: 구성한 출력이 있는 경우 이 라인을 기존 구성에 병합합니다.
-
Props.conf 탭에서 props.conf 파일을 편집하고 다음을 선택합니다.
주: 시작하기 탭에서 가공된 데이터 사용 옵션을 선택한 경우에는 props.conf 파일을 편집할 필요가 없습니다.
-
기존 스탠자를 수정하거나 스탠자를 추가하여 로 전달할 소스 유형, 서비스 인스턴스 및 호스트를 표시합니다.상태 로그 분석
주: 최상의 결과를 얻으려면 전달할 소스 유형만 표시해야 합니다.
스탠자를 추가할 때 다음 이름 형식을 사용합니다.
-
TCP 또는 UDP를 통해 전달 상태 로그 분석 할 각 스탠자 끝에 다음 라인을 추가합니다.
-
다음 스탠자를 추가하여 처리에 상태 로그 분석 필요한 모든 관련 변환을 적용합니다.
주: Splunk 을 사용하면 선택한 프로토콜의 복제된 소스 유형에서 중요한 데이터를 익명화할 수 있습니다. 자세한 내용은
Splunk 설명서의 "데이터 익명화" 섹션을 참조하십시오.
-
Transforms.conf 탭에서 transforms.conf 파일에 다음 스탠자를 추가하고 다음을 선택합니다.
주: 시작하기 탭에서 가공된 데이터 사용 옵션을 선택한 경우에는 transforms.conf 파일을 편집할 필요가 없습니다.
세 번째 스탠자는 기존 인덱싱에 영향을 주지 않으면서 추가 조작을 위해 로그를 복제합니다. 나머지 스탠자는 올바른 상태 로그 분석 처리를 가능하게 하는 데 필요한 정보를 추가합니다.
주: 여기에서 변환을 추가한 후 props.conf 파일에서 복제된 소스 유형의 스탠자를 수정하여 중요한 데이터를 난독 처리할 수 있습니다.
[accepted_keys]
#Custom field for preserving sourcetype
hla_sourcetype_preservation=_hla_sourcetype
#Store sourcetype in a custom field, since CLONE_SOURCETYPE overwrites it
[clone_for_hla_store_sourcetype]
SOURCE_KEY = MetaData:Sourcetype
REGEX = ^sourcetype::(.+)$
FORMAT = hla_sourcetype::$1
DEST_KEY = _hla_sourcetype
[clone_for_hla]
REGEX=.
DEST_KEY = _TCP_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_tcp
#Only used in case of UDP forwarding
[clone_for_hla_udp]
REGEX=.
DEST_KEY = _SYSLOG_ROUTING
FORMAT = health_log_analytics
CLONE_SOURCETYPE=send_to_hla_udp
#Add metadata to the log message, since metadata is lost when forwarding externally
[health_log_analytics_add_sourcetype]
SOURCE_KEY = _hla_sourcetype
REGEX = ^hla_sourcetype::(.+)$
FORMAT = sourcetype="$1"] $0
DEST_KEY = _raw
[health_log_analytics_add_host]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = host="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_source]
SOURCE_KEY = MetaData:Source
REGEX = ^source::(.+)$
FORMAT = source="$1" $0
DEST_KEY = _raw
[health_log_analytics_add_syslog5424]
REGEX=.
FORMAT = - - [sdid@1234 $0
DEST_KEY = _raw
[health_log_analytics_add_index]
SOURCE_KEY = _MetaData:Index
REGEX = ^(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_syslogHost]
SOURCE_KEY = MetaData:Host
REGEX = ^host::(.+)$
FORMAT = $1 $0
DEST_KEY = _raw
[health_log_analytics_add_time]
SOURCE_KEY = _time
REGEX = ^(.+)$
FORMAT = <182>1 $1 $0
DEST_KEY = _raw
-
Finish.conf 탭에서
$SPLUNK_HOME/bin/splunk restart splunkd 명령을 실행하여 다시 시작합니다Splunk.
-
저장을 선택합니다.
상태 로그 분석가 데이터 입력 테이블에 데이터 입력 기록을 추가합니다.
-
연결 테스트를 선택하여 데이터 입력이 올바르게 구성되었는지 확인합니다.
상태 로그 분석가 MID 서버를 데이터 리포지토리에 연결하려고 시도합니다.
주: 변경 사항 되돌리기를 선택하여 마지막으로 게시된 구성으로 되돌릴 수 있습니다. 이 옵션은 이전에 게시된 구성을 수정하는 경우에만 사용할 수 있습니다.
-
게시를 선택하여 데이터 입력을 에 게시합니다.MID 서버