タグ: AdventCalendar

この記事は Splunk Advent Calendar 2024 4日目の記事です。

Splunk Advent Calender は昨年も参加していまして二年連続の参加です。

Splunk の Ingest Actions（取り込みアクション）

今回ご紹介するのは、Splunk の Ingest Actions（取り込みアクション）についてです。

Splunk はいろいろな活用方法がありますが、一日のログ取り込み容量によるライセンスが存在しています。

Ingest Actions により、

• 取り込み前にデータを成形したり
• Splunk にインデックス化しなくても良いログを別途書き出す

ことができます。

この記事は Splunk Advent Calendar 2023 の記事です。

Splunk の検証環境について

Splunk は本番と同じパッケージで、60日間500MB取り込み可能なトライアル利用も可能なので、ちょっとした検証も簡単にできます。

基本的な検証ならそれで十分なのですが、インデクサークラスタの挙動とかの確認とかとなると

• VM 作成するのが手間（例：サーチヘッダ、クラスタマスター一台ずつ、インデクサー3台）
• 都度設定するのが手間

となり、ちょっと手間がかかります。

Splunk Docker イメージ

Splunk には、rpm や deb パッケージだけでなく、Docker イメージも提供されています。

• splunk/splunk – Docker Image | Docker Hub
• Deploy and run Splunk Enterprise inside a Docker container – Splunk Documentation

これをつかって、インデクサークラスタを作ってみます。