タグ: Splunk

この記事は Splunk Advent Calendar 2024 4日目の記事です。

Splunk Advent Calender は昨年も参加していまして二年連続の参加です。

Splunk の Ingest Actions（取り込みアクション）

今回ご紹介するのは、Splunk の Ingest Actions（取り込みアクション）についてです。

Splunk はいろいろな活用方法がありますが、一日のログ取り込み容量によるライセンスが存在しています。

Ingest Actions により、

• 取り込み前にデータを成形したり
• Splunk にインデックス化しなくても良いログを別途書き出す

ことができます。

この記事は Splunk Advent Calendar 2023 の記事です。

Splunk の検証環境について

Splunk は本番と同じパッケージで、60日間500MB取り込み可能なトライアル利用も可能なので、ちょっとした検証も簡単にできます。

基本的な検証ならそれで十分なのですが、インデクサークラスタの挙動とかの確認とかとなると

• VM 作成するのが手間（例：サーチヘッダ、クラスタマスター一台ずつ、インデクサー3台）
• 都度設定するのが手間

となり、ちょっと手間がかかります。

Splunk Docker イメージ

Splunk には、rpm や deb パッケージだけでなく、Docker イメージも提供されています。

• splunk/splunk – Docker Image | Docker Hub
• Deploy and run Splunk Enterprise inside a Docker container – Splunk Documentation

これをつかって、インデクサークラスタを作ってみます。

Splunk Advent Calendar 2020 6日目の記事です。

Splunk で Windows のパフォーマンスモニタを取り込むには perfmon を使用しますが、日本語での情報があまりなく、また inputs.conf のデフォルト設定を変更することで、Splunk でログを取り込むのには必ず考えなければならないログ容量の削減ができたので紹介します。

環境

• Splunk 8.1.0
• Windows Server 2019

の環境でテストしましたが、バージョンが違ってもほぼ同じかと思います。

ログの取り込み設定の比較

デフォルト設定