最初に、Splunk Cloudトライアル環境の払い出しと初期設定を行います。 やるべきことは、ログイン、インデックスの作成、ログ転送用クレデンシャル取得、Add-onの導入の4つです。
1. Splunk Cloudトライアル環境の取得
前の章で説明しましたが、Splunk Cloudのトライアル環境はSplunk公式サイトから申請できます。 以下サイトより、Splunkアカウントを作成して申し込んでください。 申し込みが完了すると、メールにてログインURL(https://prd-p-xxxxx.splunkcloud.com )とユーザー名/パスワードが送付されてきます。
Splunk Cloud Platform トライアル
まずは実際にトライアル環境にログインできることを確認してみましょう。
2. ログインとサーチの確認
実際にログインできたら、サーチを実行できるか試してみましょう。 ログイン後、画面左上に「App」と書かれたメニューがあります。 「App」をクリックし、表示された中から「Search & Reporting」を選択します。
すると、サーチと書かれた画面に遷移します。(この画面がSearch & Reporting Appのサーチ画面です)
「ここにサーチを入力...」と書かれたサーチバーがあるため、ここにSPLを書いてサーチを実行してみます。 まずは、最も基本的な、全てのインデックスをサーチしてみましょう。
index=*無事にサーチが実行出来たら「結果が見つかりませんでした。タイムレンジを拡大してください。」と表示されるはずです。 まだSplunkにログが格納されていないために結果が見つからなかったことを示しています。
しかしながら、内部ログであればすでに格納されているものがあります。 以下のSPLを実行して、実際にログが表示されていることを確認してみましょう。
index=_internalログが確認できればサーチの確認は完了です。 画面の説明は後の章でも実施しますが、自分でも調べてみたい場合は、以下の公式サイトの説明を見てみてください。
About the Search app
3. インデックスの作成
次に、ログを取り込む箱であるインデックスを作成します。
今回は、Windows用にtest-win、Linux用にtest-nixというインデックスを作成します。
手順は以下の通りです。
- ログイン後、画面右上の歯車アイコンを選択し、「設定(Setting)」-「インデックス(Indexes)」を選択する。
- インデックス画面で、画面右上の「新規インデックス(New Index)」を選択する。
- 以下の通りインデックス情報を入力し、「保存(Save)」を選択する。
| 項目 | 値 | 説明 |
|---|---|---|
| 名前(Name) | test-win | インデックスの名前を入力する |
| 最大rawデータサイズ(Max raw data size) | 0 | インデックスの最大データサイズを入力する。0で無制限となる |
| サーチ可能な保存(日数)(Searchable retention (days)) | 14 | データをアーカイブするまでの期間を指定する。今回はトライアル期間いっぱいを指定 |
- 再度右上の「新規インデックス(New Index)」を選択し、以下の通り入力し、「保存(Save)」を選択する。
| 項目 | 値 | 説明 |
|---|---|---|
| 名前(Name) | test-nix | インデックスの名前を入力する |
| 最大rawデータサイズ(Max raw data size) | 0 | インデックスの最大データサイズを入力する。0で無制限となる |
| サーチ可能な保存(日数)(Searchable retention (days)) | 14 | データをアーカイブするまでの期間を指定する。今回はトライアル期間いっぱいを指定 |
4. ログ転送用クレデンシャルの取得
次に、ログ転送用クレデンシャルを取得します。 ログ転送用クレデンシャルとは、Intermediate ForwarderがSplunk Cloudへデータを暗号化して転送するための証明書が含まれたAppです。 これをIntermediate Forwarderに導入することで、オンプレ環境とSplunk Cloudの間の通信を暗号化して転送することが可能となります。
手順は以下の通りです。
- ログイン後、画面左上に「App」と書かれたメニューをクリックし、「Universal Forwarder」Appを選択する。
- 「Universal Forwarder」Appから「Download Universal Forwarder Credentials」を選択し、適切な場所に保存する。
※ログ転送用クレデンシャルは、「splunkclouduf.spl」という名前です。
ログ転送用クレデンシャルには証明書が含まれています。 第三者に利用されてしまうと、Splunk Cloudにログを転送することができてしまうため、注意して管理してください。
5. Add-onの導入
今回、サーバーからログを転送するにあたって、事前にサーバーログの取り込み設定が定義されているAdd-onを利用します。 導入するAdd-onは以下の2つです。これらは、Splunk CloudとForwarder、両方に導入する必要があります。
- Splunk Add-on for Windows(https://splunkbase.splunk.com/app/742)
- Splunk Add-on for Unix and Linux(https://splunkbase.splunk.com/app/833)
まずSplunk Cloud側に導入します。導入手順は以下の通りです。作業中、Splunkアカウントでの認証が必要となるので注意してください。
- ログイン後、画面左上に「App」と書かれたメニューをクリックし、「Appの管理(Manage Apps)」を選択する。
- App画面の右上にある「他のAppを閲覧(Browse More Apps)」を選択する。
- 他のAppを閲覧画面にて、Appのサーチバーに「windows add on」と入力する。
- Appサーチ結果に「Splunk Add-on for Windows」というAdd-onが表示される。Appの「インストール」を選択する。
- ログイン認証画面が表示される。Splunk Cloudトライアル申し込み時に作成したSplunkアカウントのアカウント名とパスワードを指定してログインする。
- License Agreement画面が表示されるので、「同意してインストール」を選択する。
- インストール - 成功画面が表示されたら、「完了」を選択してインストール画面を閉じる。
- 同様に、他のAppを閲覧画面にて、Appのサーチバーに「nix add on」と入力し、「Splunk Add-on for Unix and Linux」もインストールする。