Splunk にデータを送信する

概要

ここでは、Insights のリアルタイムでのデータ エクスポート機能を使用してデータを Splunk に送信し、そのデータを Splunk で使用する方法を説明します。

前提条件

注: Splunk レポートを設定する前に、リアルタイムでのデータ エクスポートを設定します。

• Splunk Enterprise バージョン 9.0.0 以上。
• Docker コンテナー内にデプロイされた Splunk Enterprise (ドキュメント バージョン 9.0.0)。
• Event Hubs を介してデータを使用するための Splunk Add-on for Microsoft Cloud Service。

Splunk と Event Hubs の連携を構成する

Splunk Add-on for Microsoft Cloud Services と Azure Event Hubs の連携を構成する

以下の表に、Event Hubs のデータを使用するためのコンポーネントのリストを示します。

コンポーネント	説明
入力	データ ソースのリーダー (例: Microsoft Data Services アドオンによって追加された Event Hubs) です。
インデックス	クエリ可能な、入力からのデータのストレージです。
サーチとレポート	アドホック クエリから永続ダッシュボードへのデータ探索です。

イベント インデックスを作成する

Event Hubs と連携するには、イベント インデックスを作成する必要があります。

Splunk で新しいインデックスを定義する

注: 特定のインデックス設定が必要な場合を除き、既定値を使用することを検討してください。

Azure 接続を設定する

Splunk を Azure で認証するには、Azure AD アプリケーションとサービス プリンシパルを作成する必要があります。

1. portal.azure.com にサインインします。
2. アプリケーションを Azure AD に登録し、サービス プリンシパルを作成します。

3. クライアント ID/テナント ID (Azure のディレクトリ (テナント) ID) を使用して、Splunk Add-on for Microsoft Cloud Services に接続します。クライアント シークレットを使用することもできます。

   
   

   

   
   

Splunk Web を使用してデータを追加する

入力を定義し、データをインデックスに取り込みます。

Splunk Web を使用してデータ入力を追加し、次の設定を構成します。

• Azure Event Hubs 名前空間 (FQDN)
• Azure Event Hubs の名前

• Azure Event Hubs のコンシューマー グループ

  注:「イベント インデックスを作成する」で定義した推奨インデックスを設定するには、[その他のオプション] を使用します。
  
  

  

  
  

データを検索する

データセットを検索するには、利用可能なデータのサンプリングを開始できます。

フィルター処理とグループ化によってデータを絞り込みます (例: ジョブの最近のイベント数を参照する)。