Splunk Evrensel İletici'den Azure Veri Gezgini'e veri alma

Splunk Evrensel İletici, Splunk Enterprise yazılımının birçok kaynaktan aynı anda veri almanızı sağlayan basit bir sürümüdür. Günlük verilerini ve makine verilerini çeşitli kaynaklardan toplayıp merkezi bir Splunk Enterprise sunucusuna veya Splunk Bulut dağıtımına iletmek için tasarlanmıştır. Splunk Evrensel İletici, veri toplama ve iletme işlemini basitleştiren bir aracı görevi görerek splunk dağıtımında önemli bir bileşendir. Azure Veri Gezgini, günlük ve telemetri verileri için hızlı ve yüksek oranda ölçeklenebilir veri keşfetme hizmetidir.

Bu makalede Kusto Splunk Evrensel İletici Bağlayıcısı'nı kullanarak kümenizdeki bir tabloya veri göndermeyi öğrenin. Başlangıçta bir tablo ve veri eşlemesi oluşturur, ardından Splunk'u tabloya veri göndermeye yönlendirir ve ardından sonuçları doğrularsınız.

Önkoşullar

• Splunk Evrensel İletici , günlüklerin kaynaklandığı makineye indirildi.
• Azure Veri Gezgini kümesi ve veritabanı. Küme ve veritabanı oluşturma.
• Docker , Kusto Splunk Evrensel İletici bağlayıcısını çalıştıran sistemde yüklüdür.
• Microsoft Entra hizmet sorumlusu. Microsoft Entra hizmet sorumlusu oluşturun.

Azure Veri Gezgini tablosu oluşturma

Splunk Evrensel İletici'den verileri almak için bir tablo oluşturun ve ardından hizmet sorumlusuna bu tabloya erişim verin.

Aşağıdaki adımlarda, tek sütunlu ()RawText adlı SplunkUFLogs bir tablo oluşturursunuz. Bunun nedeni Splunk Evrensel İletici'nin verileri varsayılan olarak ham metin biçiminde göndermesidir. Aşağıdaki komutlar web kullanıcı arabirimi sorgu düzenleyicisinde çalıştırılabilir.

1. Tablo oluşturma:

   .create table SplunkUFLogs (RawText: string)
   

2. Tablonun SplunkUFLogs oluşturulduğunu ve boş olduğunu doğrulayın:

   SplunkUFLogs
   | count
   

3. Tablonuzu içeren veritabanıyla çalışma izni vermek için Önkoşullar'dan hizmet sorumlusunu kullanın.

   .add database YOUR_DATABASE_NAME admins ('aadapp=YOUR_APP_ID;YOUR_TENANT_ID') 'Entra service principal: Splunk UF'
   

Splunk Evrensel İleticisini yapılandırma

Splunk Evrensel İletici'yi indirdiğinizde, ileticiyi yapılandırmak için bir sihirbaz açılır.

1. Sihirbazda, Alıcı Dizin Oluşturucu'nu Kusto Splunk Evrensel İletici bağlayıcısını barındıran sisteme işaret etmek üzere ayarlayın. Konak adı veya IP ve 9997 bağlantı noktası için girin127.0.0.1. Hedef Dizin oluşturucuyu boş bırakın.

   Daha fazla bilgi için bkz . Splunk Enterprise için alıcıyı etkinleştirme.

2. Splunk Evrensel İletici'nin yüklü olduğu klasöre ve ardından /etc/system/local klasörüne gidin. İleticinin günlükleri okumasına izin vermek için inputs.conf dosyasını oluşturun veya değiştirin:

   [default]
   index = default
   disabled = false
   
   [monitor://C:\Program Files\Splunk\var\log\splunk\modinput_eventgen.log*]
   sourcetype = modinput_eventgen
   

   Daha fazla bilgi için bkz . Inputs.conf ile dosyaları ve dizinleri izleme.

3. Splunk Evrensel İletici'nin yüklü olduğu klasöre ve ardından /etc/system/local klasörüne gidin. Kusto Splunk Evrensel İletici bağlayıcısını barındıran sistemin konak adı ve bağlantı noktası olan günlüklerin hedef konumunu belirlemek için outputs.conf dosyasını oluşturun veya değiştirin:

   [tcpout]
   defaultGroup = default-autolb-group
   sendCookedData = false
   
   [tcpout:default-autolb-group]
   server = 127.0.0.1:9997
   
   [tcpout-server://127.0.0.1:9997]
   

   Daha fazla bilgi için bkz . outputs.conf ile iletmeyi yapılandırma.

4. Splunk Evrensel İleticiyi yeniden başlatın.

Kusto Splunk Evrensel bağlayıcısını yapılandırma

Kusto Splunk Evrensel bağlayıcısını Azure Veri Gezgini tablonuza günlük gönderecek şekilde yapılandırmak için:

1. GitHub deposundan bağlayıcıyı indirin veya kopyalayın.

2. Bağlayıcının temel dizinine gidin:

   cd .\SplunkADXForwarder\
   

3. config.yml aşağıdaki özellikleri içerecek şekilde düzenleyin:

   ingest_url: <ingest_url>
   client_id: <ms_entra_app_client_id>
   client_secret: <ms_entra_app_client_secret>
   authority: <ms_entra_authority>
   database_name: <database_name>
   table_name: <table_name>
   table_mapping_name: <table_mapping_name>
   data_format: csv
   

   Alan	Açıklama
   ingest_url	Azure Veri Gezgini kümenizin alma URL'si. Bunu Azure portalında kümenizin Genel Bakış sekmesindeki Veri alımı URI'sinin altında bulabilirsiniz. https://ingest-<clusterName>.<region>.kusto.windows.net biçiminde olmalıdır.
   client_id	Önkoşullar bölümünde oluşturulan Microsoft Entra uygulama kaydınızın istemci kimliği.
   client_secret	Önkoşullar bölümünde oluşturulan Microsoft Entra uygulama kaydınızın istemci gizli dizisi.
   authority	Önkoşullar bölümünde oluşturulan Microsoft Entra uygulama kaydınızı barındıran kiracının kimliği.
   database_name	Azure Veri Gezgini veritabanınızın adı.
   table_name	Azure Veri Gezgini hedef tablonuzun adı.
   table_mapping_name	Tablonuz için veri alımı eşlemesinin adı. Eşlemeniz yoksa bu özelliği yapılandırma dosyasından atlayabilirsiniz. Verileri daha sonra istediğiniz zaman çeşitli sütunlar halinde ayrıştırabilirsiniz.
   data_format	Gelen veriler için beklenen veri biçimi. Gelen veriler ham metin biçiminde olduğundan, önerilen biçim ham metni varsayılan olarak sıfır dizinine eşleyen biçimidir csv.

4. Docker görüntüsünü oluşturun:

   docker build -t splunk-forwarder-listener
   

5. Docker kapsayıcısını çalıştırın:

   docker run -p 9997:9997 splunk-forwarder-listener
   

Verilerin Azure Veri Gezgini'a alındığını doğrulayın

Docker çalıştırıldıktan sonra veriler Azure Veri Gezgini tablonuza gönderilir. Web kullanıcı arabirimi sorgu düzenleyicisinde bir sorgu çalıştırarak verilerin alındığını doğrulayabilirsiniz.

1. Verilerin tabloya alındığını doğrulamak için aşağıdaki sorguyu çalıştırın:

   SplunkUFLogs
   | count
   

2. Verileri görüntülemek için aşağıdaki sorguyu çalıştırın:

   SplunkUFLogs
   | take 100
   

İlgili içerik

• Sorgu yazma