[LINUX] Senden Sie Protokolldaten vom Server an Splunk Cloud

Einführung

Ich hatte die Möglichkeit, Splunk Cloud zu verwenden. Daher werde ich ein Memorandum darüber hinterlassen, wie verschiedene Protokolle vom Linux-Server übertragen werden.

Dieser Artikel basiert auf Get * nix data in Splunk Cloud

Vorbereitungen

In [Splunk Cloud] registrieren (https://www.splunk.com/ja_jp/software/splunk-cloud.html)
Kostenlose Testversion ist in Ordnung
Bereiten Sie eine Instanz von Linux vor
Wir haben den Vorgang mit Wordpress auf dem GCP-Marktplatz bestätigt.

Verfahren

Installieren Sie Universal Forwarder auf dem Server
Laden Sie die Universal Forwarder-Anmeldeinformationen herunter und installieren Sie sie
Installieren Sie das Add-on für Linux auf Universal Forwarder
Installieren Sie die App, um das in 3 installierte Add-On zu analysieren.
Bestätigen Sie, dass die Daten empfangen werden können

1. Installieren Sie Universal Forwarder auf dem Server

Laden Sie nach dem Anmelden bei splunk.com Universal Forwarder von hier herunter (https://www.splunk.com/en_us/download/universal-forwarder.html). Klicken Sie auf "Jetzt herunterladen" für Ihr Lieblingspaket. Nachdem Sie die Bedingungen akzeptiert haben, können Sie die Befehle abrufen, die innerhalb der Instanz ausgeführt werden können, indem Sie auf "Über Befehlszeile herunterladen (wget)" klicken.

$ cd /tmp
$ wget ... #Der Befehl, den Sie früher erhalten haben
#Holen Sie sich das Paket, das zu Ihrer Umgebung passt
$ sudo rpm -i splunkforwarder-<…>-linux-2.6-x86_64.rpm 
$ sudo dpkg -i splunkforwarder-<…>-linux-2.6-x86_64.deb
#Nach der Installation wird der Splunk-Benutzer hinzugefügt
$ sudo su - spulnk
$ cd /opt/splunkforwarder/bin
$ ./splunk start
#Sie werden aufgefordert, Ihren Benutzernamen und Ihr Passwort einzugeben.
#Splunk, weil es von Splunk Forwarder verwendet wird.Es ist okay mit etwas anderem als com
#Beenden Sie das Programm, wenn Folgendes angezeigt wird
All installed files intact.
Done
All preliminary checks passed.
Starting splunk server daemon (splunkd)...
Done

2. Laden Sie die Universal Forwarder-Anmeldeinformationen herunter und installieren Sie sie

Gehen Sie zu "https: // .splunkcloud.com / ja-JP / app / splunkclouduf / setupuf"
Laden Sie die Anmeldeinformationen von "3. Laden Sie Ihr benutzerdefiniertes Paket mit universellen Weiterleitungsdaten herunter" herunter
Übertragen Sie die heruntergeladenen Anmeldeinformationen auf die Instanz, z. B. mit "sftp"

$ pwd
<PATH-TO-FILE>
$ ls
splunkclouduf.spl
$ sudo su - splunk
$ /opt/splunkforwarder/bin/splunk install app <PATH-TO-FILE>/splunkclouduf.spl
#Wenn Sie zur Eingabe eines Benutzernamens und eines Passworts aufgefordert werden, geben Sie den gerade erwähnten ein

#Die Installation ist abgeschlossen, wenn die folgende Meldung angezeigt wird.
App '<PATH-TO-FILE>/splunkclouduf.spl' installed

#Starten Sie den Universal Forwarder neu
$ ./splunk restart

3. Installieren Sie das Add-on für Linux auf Universal Forwarder

Sie können die Funktionalität erweitern, indem Sie das Add-on von Splunkbase herunterladen und in der Weiterleitung installieren. Dieses Mal werden wir Splunk Add-on für Unix und Linux vorstellen. Durch die Einführung dieses Add-Ons können Sie die Übertragung verschiedener Protokolle in der Linux-Umgebung festlegen.

Laden Sie das Splunk-Add-on für Unix und Linux herunter (https://splunkbase.splunk.com/app/833/).

Arbeiten Sie im Terminal unten

# /Downloads/splunk-add-on-for-unix-and-linux_602.Zu tgz hinzufügen-Angenommen, on wird heruntergeladen

#Kopieren Sie die heruntergeladene TAR-Datei mit scp usw. in die Instanz.
$ scp splunk@<LINUX_INSTANCE_IP_ADDR>:/tmp/ /Downloads/splunk-add-on-for-unix-and-linux_602.tgz

#Melden Sie sich bei Ihrer Linux-Instanz an. Arbeiten Sie darunter mit einer Linux-Instanz.
$ ssh splunk@<LINUX_INSTANCE_IP_ADDR>
$ cd /tmp
$ tar xvfz splunk-add-on-for-unix-and-linux_602.tgz

# Splunk_TA_Stellen Sie sicher, dass Sie ein Verzeichnis namens nix haben
$ ls

# splunkforwarder/etc/Zu Apps wechseln
$ mv Splunk_TA_nix/ /opt/splunkforwarder/etc/apps
$ cd /opt/splunkforwarder/etc/apps/Splunk_TA_nix

#Kopieren Sie die Konfigurationsdatei
$ mkdir local
$ cp default/inputs.conf local

#Einstellungsdatei
$ cat local/inputs.conf | head -n 6
# Copyright (C) 2020 Splunk Inc. All Rights Reserved.
[script://./bin/vmstat.sh]
interval = 60
sourcetype = vmstat
source = vmstat
disabled = 1

# disabled =Daten können durch Setzen auf 0 übertragen werden.
$ sed -e 's/disabled = 0/disabled = 1/g' local/inputs.conf > local/inputs.conf
$ sed -e 's/disabled = true/disabled = false/g' local/inputs.conf > local/inputs.conf

#Starten Sie nach dem Vornehmen von Änderungen neu
$ cd /opt/splunkforwarder/bin
$ ./splunk restart

4. Installieren Sie die App, um das in 3 installierte Add-On zu analysieren.

Nach Abschluss der obigen Einstellungen wurden die Daten von Linux bereits gesendet. Einige der Daten wurden jedoch nicht analysiert, so dass es schwierig ist, sie so zu verwenden, wie sie sind. Aus diesem Grund werden wir das Splunk-Add-on für Unix und Linux in Splunk Cloud einführen. Daten können durch Einführung dieses Add-Ons analysiert werden.

Wählen Sie oben links in Splunk Cloud die Option "Nach anderen Apps suchen"
Suchen und installieren Sie das Splunk-Add-on für Unix und Linux.

5. Bestätigen Sie, dass die Daten empfangen werden können

Wenn die Einstellungen korrekt sind, wird das Top-Ergebnis analysiert und so angezeigt.

Referenzlink

Get *nix data into Splunk Cloud