Inserire dati da Splunk Universal Forwarder ad Azure Esplora dati

Splunk Universal Forwarder è una versione leggera del software Splunk Enterprise che consente di inserire dati da molte origini contemporaneamente. È progettato per raccogliere e inoltrare dati di log e computer da varie origini a un server Splunk Enterprise centrale o a una distribuzione di Splunk Cloud. Splunk Universal Forwarder funge da agente che semplifica il processo di raccolta e inoltro dei dati, rendendolo un componente essenziale in una distribuzione Splunk. Esplora dati di Azure è un servizio di esplorazione dati rapido e a scalabilità elevata per dati di log e di telemetria.

Questo articolo illustra come usare il connettore di inoltro universale Kusto Splunk per inviare dati a una tabella nel cluster. Inizialmente si crea una tabella e un mapping dei dati, quindi si indirizza Splunk all'invio di dati nella tabella e quindi si convalidano i risultati.

Prerequisiti

• Splunk Universal Forwarder scaricato nello stesso computer in cui hanno origine i log.
• Un cluster e un database di Esplora dati di Azure. Creare un cluster e un database.
• Docker installato nel sistema che esegue il connettore Kusto Splunk Universal Forwarder.
• Un'entità servizio Microsoft Entra. Creare un'entità servizio Microsoft Entra.

Creare una tabella Esplora dati di Azure

Creare una tabella per ricevere i dati da Splunk Universal Forwarder e quindi concedere all'entità servizio l'accesso a questa tabella.

Nei passaggi seguenti viene creata una tabella denominata SplunkUFLogs con una singola colonna (RawText). Questo perché Splunk Universal Forwarder invia i dati in un formato di testo non elaborato per impostazione predefinita. I comandi seguenti possono essere eseguiti nell'editor di query dell'interfaccia utente Web.

1. Creare una tabella:

   .create table SplunkUFLogs (RawText: string)
   

2. Verificare che la tabella SplunkUFLogs sia stata creata ed è vuota:

   SplunkUFLogs
   | count
   

3. Usare l'entità servizio dei prerequisiti per concedere l'autorizzazione per lavorare con il database contenente la tabella.

   .add database YOUR_DATABASE_NAME admins ('aadapp=YOUR_APP_ID;YOUR_TENANT_ID') 'Entra service principal: Splunk UF'
   

Configurare splunk Universal Forwarder

Quando si scarica Splunk Universal Forwarder, viene aperta una procedura guidata per configurare il server d'inoltro.

1. Nella procedura guidata impostare l'indicizzatore ricevente in modo che punti al sistema che ospita il connettore Kusto Splunk Universal Forwarder. Immettere 127.0.0.1 per Nome host o IP e 9997 per la porta. Lasciare vuoto l'indicizzatore di destinazione.

   Per altre informazioni, vedere Abilitare un ricevitore per Splunk Enterprise.

2. Passare alla cartella in cui è installato Splunk Universal Forwarder e quindi alla cartella /etc/system/local . Creare o modificare il file inputs.conf per consentire al server d'inoltro di leggere i log:

   [default]
   index = default
   disabled = false
   
   [monitor://C:\Program Files\Splunk\var\log\splunk\modinput_eventgen.log*]
   sourcetype = modinput_eventgen
   

   Per altre informazioni, vedere Monitorare file e directory con inputs.conf.

3. Passare alla cartella in cui è installato Splunk Universal Forwarder e quindi alla cartella /etc/system/local . Creare o modificare il file outputs.conf per determinare il percorso di destinazione per i log, ovvero il nome host e la porta del sistema che ospita il connettore Kusto Splunk Universal Forwarder:

   [tcpout]
   defaultGroup = default-autolb-group
   sendCookedData = false
   
   [tcpout:default-autolb-group]
   server = 127.0.0.1:9997
   
   [tcpout-server://127.0.0.1:9997]
   

   Per altre informazioni, vedere Configurare l'inoltro con outputs.conf.

4. Riavviare Splunk Universal Forwarder.

Configurare il connettore Universale di Kusto Splunk

Per configurare il connettore Universale Kusto Splunk per inviare i log alla tabella di Azure Esplora dati:

1. Scaricare o clonare il connettore dal repository GitHub.

2. Passare alla directory di base del connettore:

   cd .\SplunkADXForwarder\
   

3. Modificare il config.yml in modo da contenere le proprietà seguenti:

   ingest_url: <ingest_url>
   client_id: <ms_entra_app_client_id>
   client_secret: <ms_entra_app_client_secret>
   authority: <ms_entra_authority>
   database_name: <database_name>
   table_name: <table_name>
   table_mapping_name: <table_mapping_name>
   data_format: csv
   

   Campo	Descrizione
   ingest_url	URL di inserimento per il cluster di azure Esplora dati. È possibile trovarla nella portale di Azure sotto l'URI di inserimento dati nella scheda Panoramica del cluster. Deve essere nel formato https://ingest-<clusterName>.<region>.kusto.windows.net.
   client_id	ID client della registrazione dell'applicazione Microsoft Entra creata nella sezione Prerequisiti .
   client_secret	Segreto client della registrazione dell'applicazione Microsoft Entra creata nella sezione Prerequisiti .
   authority	ID del tenant che contiene la registrazione dell'applicazione Microsoft Entra creata nella sezione Prerequisiti .
   database_name	Nome del database Esplora dati di Azure.
   table_name	Nome della tabella di destinazione di Azure Esplora dati.
   table_mapping_name	Nome del mapping dei dati di inserimento per la tabella. Se non si dispone di un mapping, è possibile omettere questa proprietà dal file di configurazione. È sempre possibile analizzare i dati in varie colonne in un secondo momento.
   data_format	Formato dati previsto per i dati in ingresso. I dati in ingresso sono in formato testo non elaborato, quindi il formato consigliato è csv, che esegue il mapping del testo non elaborato all'indice zero per impostazione predefinita.

4. Compilare l'immagine Docker:

   docker build -t splunk-forwarder-listener
   

5. Eseguire il contenitore Docker:

   docker run -p 9997:9997 splunk-forwarder-listener
   

Verificare che i dati vengano inseriti in Azure Esplora dati

Dopo l'esecuzione di Docker, i dati vengono inviati alla tabella di Azure Esplora dati. È possibile verificare che i dati vengano inseriti eseguendo una query nell'editor di query dell'interfaccia utente Web.

1. Eseguire la query seguente per verificare che i dati vengano inseriti nella tabella:

   SplunkUFLogs
   | count
   

2. Eseguire il seguente codice per visualizzare i dati:

   SplunkUFLogs
   | take 100
   

Contenuto correlato

• Scrivere query