LogManagement/Splunk の履歴(No.11)

• 履歴一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• LogManagement/Splunk へ行く。
  • 1 (2015-09-11 (金) 01:45:32)
  • 2 (2015-09-11 (金) 02:16:27)
  • 3 (2015-09-11 (金) 05:07:17)
  • 4 (2015-09-14 (月) 05:19:25)
  • 5 (2015-09-15 (火) 01:57:20)
  • 6 (2015-09-17 (木) 02:13:00)
  • 7 (2015-09-18 (金) 02:06:04)
  • 8 (2015-09-18 (金) 08:25:08)
  • 9 (2015-10-23 (金) 17:20:27)
  • 10 (2016-01-20 (水) 13:15:36)
  • 11 (2016-01-22 (金) 10:47:28)

---

• ログデータ分析基盤。商用だが無料版もある。使う機会が多いのでまとめた

インストール†

無料版でも有料版でもバイナリはいっしょ。 rpmが用意されているので実行する。splunkユーザーが追加されるので。splunkユーザになる。

設定ファイルの場所†

起動†

su - splunk
splunk start 
splunk stop

splunkユーザーだと8000ポートで起動するので、nginxでproxy設定をして80アクセス可能とした。

       location / {
               proxy_pass   http://127.0.0.1:8000/;
       }

設定ファイルによるカスタムフィールドの定義†

デフォルトの検索時間設定†

• $SPLUNK_HOME/etc/system/local/ui-prefs.conf

[search]
dispatch.earliest_time = -24h
dispatch.latest_time = now
            
[default]
dispatch.earliest_time = -24h
dispatch.latest_time = now

オペレーション†

ソースごとの使用量†

index=_internal source=*license_usage.log type=Usage earliest=-20d
| eval MB = b/1024/1024
| rename s AS source
| timechart span=1d sum(b) AS "Total MB used" by source

• 一日単位の使用量

index=_internal sourcetype="splunkd" group="per_sourcetype_thruput" series!=splunk* | eval mb=kb/1024 | timechart limit=20 minspan=1d sum(mb) by series

• 一時間単位の使用量

index=_internal sourcetype="splunkd" group="per_sourcetype_thruput" series!=splunk* | eval mb=kb/1024 | timechart limit=20 minspan=1h sum(mb) by series

Emailの送信履歴†

index=_internal ( sourcetype=scheduler alert_actions="email" ) OR ( sourcetype=splunk_python "sendemail" )

出力フィールドを絞る†

サーチ文字列 | fields column1,column2

出力フィールドをテーブル形式にする。†

サーチ文字列 | table column1,column2

消す(権限が必要)†

サーチ文字列 | delete

アラート送信時のカスタムスクリプト†

http://docs.splunk.com/Documentation/Splunk/latest/Alert/Configuringscriptedalerts

トラブルシューティング†

構成要素†

Splunk Forwarder†

データ転送エージェントいくつか種類があるが、単なる転送だけであれば、universal forwarderでよい。heavy forwarderはsplunk本体から転送機能に特化したアーカイブであり、フィルタリングなどの高度なことを実施したい場合に選択する。light forwarderは単純なことしかできないのでuniversal forwarderにとってかわられた。

Splunk indexer†

生データをindexに投入する役割。