[LINUX] Envoyer les données du journal du serveur vers Splunk Cloud
introduction
J'ai eu l'occasion d'utiliser Splunk Cloud. Par conséquent, je laisserai un mémorandum sur la façon de transférer divers journaux depuis le serveur Linux.
Cet article est basé sur Get * nix data into Splunk Cloud
Préparation préalable
-Inscrivez-vous dans Splunk Cloud
- Un essai gratuit est correct --Préparer une instance de Linux
- Nous avons confirmé l'opération avec Wordpress dans GCP Marketplace.
procédure
- Installez Universal Forwarder sur le serveur
- Téléchargez et installez les informations d'identification d'Universal Forwarder
- Installez le module complémentaire pour Linux sur Universal Forwarder
- Installez l'application pour analyser le module complémentaire installé dans 3.
- Confirmez que les données peuvent être reçues
1. Installez Universal Forwarder sur le serveur
Après vous être connecté à splunk.com, téléchargez Universal Forwarder à partir d'ici (https://www.splunk.com/en_us/download/universal-forwarder.html).
Cliquez sur "Télécharger maintenant" pour votre package préféré.
Après avoir accepté les termes, vous pouvez obtenir les commandes qui peuvent être exécutées à partir de l'instance en appuyant sur Télécharger via la ligne de commande (wget).
$ cd /tmp
$ wget ... #La commande que vous avez reçue plus tôt
#Obtenez le forfait qui convient à votre environnement
$ sudo rpm -i splunkforwarder-<…>-linux-2.6-x86_64.rpm
$ sudo dpkg -i splunkforwarder-<…>-linux-2.6-x86_64.deb
#Après l'installation, l'utilisateur splunk sera ajouté
$ sudo su - spulnk
$ cd /opt/splunkforwarder/bin
$ ./splunk start
#Vous serez invité à entrer votre nom d'utilisateur et votre mot de passe.
#splunk car il est utilisé par le transitaire splunk.Ça va avec quelque chose de différent de com
#Quitter lorsque ce qui suit s'affiche
All installed files intact.
Done
All preliminary checks passed.
Starting splunk server daemon (splunkd)...
Done
2. Téléchargez et installez les informations d'identification d'Universal Forwarder
- Accédez à https: //
.splunkcloud.com / ja-JP / app / splunkclouduf / setupuf` 
- Téléchargez les informations d'identification depuis `3. Téléchargez votre package d'informations d'identification de transitaire universel personnalisé.
- Transférez les informations d'identification téléchargées vers l'instance, par exemple avec
sftp
$ pwd
<PATH-TO-FILE>
$ ls
splunkclouduf.spl
$ sudo su - splunk
$ /opt/splunkforwarder/bin/splunk install app <PATH-TO-FILE>/splunkclouduf.spl
#Si vous êtes invité à entrer un nom d'utilisateur et un mot de passe, entrez celui que vous venez de mentionner
#L'installation est terminée lorsque le message suivant s'affiche.
App '<PATH-TO-FILE>/splunkclouduf.spl' installed
#Redémarrer le transitaire universel
$ ./splunk restart
3. Installez le module complémentaire pour Linux sur Universal Forwarder
Vous pouvez étendre la fonctionnalité en téléchargeant le module complémentaire à partir de Splunkbase et en l'installant dans le redirecteur. Cette fois, nous présenterons Splunk Add-on pour Unix et Linux. En introduisant cet add-on, vous pouvez définir le transfert de divers journaux dans l'environnement Linux.
- Téléchargez le module complémentaire Splunk pour Unix et Linux (https://splunkbase.splunk.com/app/833/).
Travaillez dans le terminal ci-dessous
# /Downloads/splunk-add-on-for-unix-and-linux_602.Ajouter à tgz-Supposons que sur est téléchargé
#Copiez le fichier tar téléchargé sur l'instance à l'aide de scp, etc.
$ scp splunk@<LINUX_INSTANCE_IP_ADDR>:/tmp/ /Downloads/splunk-add-on-for-unix-and-linux_602.tgz
#Connectez-vous à votre instance Linux. En dessous, travaillez avec une instance Linux.
$ ssh splunk@<LINUX_INSTANCE_IP_ADDR>
$ cd /tmp
$ tar xvfz splunk-add-on-for-unix-and-linux_602.tgz
# Splunk_TA_Assurez-vous d'avoir un répertoire appelé nix
$ ls
# splunkforwarder/etc/Déplacer vers les applications
$ mv Splunk_TA_nix/ /opt/splunkforwarder/etc/apps
$ cd /opt/splunkforwarder/etc/apps/Splunk_TA_nix
#Copiez le fichier de configuration
$ mkdir local
$ cp default/inputs.conf local
#fichier de configuration
$ cat local/inputs.conf | head -n 6
# Copyright (C) 2020 Splunk Inc. All Rights Reserved.
[script://./bin/vmstat.sh]
interval = 60
sourcetype = vmstat
source = vmstat
disabled = 1
# disabled =Les données peuvent être transférées en le réglant sur 0.
$ sed -e 's/disabled = 0/disabled = 1/g' local/inputs.conf > local/inputs.conf
$ sed -e 's/disabled = true/disabled = false/g' local/inputs.conf > local/inputs.conf
#Après avoir apporté des modifications, redémarrez
$ cd /opt/splunkforwarder/bin
$ ./splunk restart
4. Installez l'application pour analyser le module complémentaire installé dans 3.
Après avoir terminé les paramètres ci-dessus, les données de Linux ont déjà été envoyées. Cependant, certaines des données n'ont pas été analysées, il est donc difficile de les utiliser telles quelles. Par conséquent, nous allons introduire «Splunk Add-on pour Unix et Linux» dans Splunk Cloud. Les données peuvent être analysées en introduisant ce module complémentaire.
- En haut à gauche de Splunk Cloud, sélectionnez "Rechercher d'autres applications"
- Recherchez et installez
Splunk Add-on pour Unix et Linux.
5. Confirmez que les données peuvent être reçues
Si les paramètres sont corrects, le résultat supérieur sera analysé et affiché comme ceci.