Como configurar o Splunk

Observação:

• Esta seção abrange a exportação de logs de POD. Para exportar logs de robôs, consulte Orchestrator – Sobre Logs.

• Splunk é uma ferramenta externa, e a UiPath não tem uma diretriz sobre como você deve definir a configuração do Splunk. Para obter mais detalhes sobre o Coletor de eventos HTTP, consulte a documentação oficial do Splunk.

A pilha Splunk-Fluentd é uma solução de registro centralizada que permite pesquisar, analisar e visualizar dados de registro. O Fluentd coleta e envia os logs para o Splunk. O Splunk recupera os logs e permite visualizar e analisar os dados.

Criação de um segredo com um token

Para criar um segredo no cluster com o token Coletor de Evento HTTP do Splunk, execute o seguinte comando:

kubectl -n cattle-logging-system create secret generic splunk-hec-token --from-literal=splunk_hec_token=<splunk_hec_token>

ClusterOutput para Splunk

Execute o seguinte comando para o ClusterOutput para o Splunk. Substitua os seguintes atributos pelos usados em sua configuração do Splunk:

kubectl -n cattle-logging-system apply -f - <<"EOF"
apiVersion: logging.banzaicloud.io/v1beta1
kind: ClusterOutput
metadata:
  name: splunk-output
spec:
  splunkHec:
    buffer:
      tags: '[]'
      timekey: <splunk_hec_timekey>
      timekey_use_utc: true
      timekey_wait: 10s
      type: file
    hec_host: <splunk_hec_host>
    hec_port: <splunk_hec_port>
    hec_token:
      valueFrom:
        secretKeyRef:
          key: <secret_key>
          name: splunk-hec-token
    index: <splunk_hec_index>
    insecure_ssl: true
    protocol: <splunk_hec_protocol>
    source: <splunk_hec_source>
    sourcetype: <splunk_hec_source_type>
EOF

Atributo	Description
splunk_hec_host	O host de rede da sua instância Splunk.
splunk_hec_port	A porta Splunk para comunicação do cliente.
secret_key	A chave segredo com o token Splunk.
splunk_hec_timekey valor em splunkHec.buffer	A frequência de saída, ou seja, com que frequência você deseja enviar logs.
protocol	O protocolo de URL. Os valores válidos são httpe https.
splunk_hec_index	Identificador do índice do Splunk a ser usado para indexar eventos.
splunk_hec_source	O campo de origem para eventos.
splunk_hec_source_type	O tipo de origem para eventos.

ClusterFlow em FluentD

Execute o seguinte comando para o ClusterFlow no FluendD:

kubectl -n cattle-logging-system apply -f - <<"EOF"
apiVersion: logging.banzaicloud.io/v1beta1
kind: ClusterFlow
metadata:
  name: splunk-flow
  namespace: cattle-logging-system
spec:
  filters:
  - tag_normaliser:
      format: ${namespace_name}/${pod_name}.${container_name}
  globalOutputRefs:
  - splunk-output
  match:
  - select:
      container_names:
      - istio-proxy
      namespaces:
      - istio-system
  - exclude:
      container_names:
      - istio-proxy
      - istio-init
      - aicenter-hit-count-update
      - istio-configure-executor
      - on-prem-tenant-license-update
      - curl
      - recovery
      - aicenter-oob-scheduler
      - cert-trustor
  - exclude:
      namespaces:
      - fleet-system
      - cattle-gatekeeper-system
      - default
  - exclude:
      labels:
        app: csi-snapshotter
  - exclude:
      labels:
        longhorn.io/job-task: backup
  - exclude:
      labels:
        app: csi-resizer
  - select: {}
EOF

Observação: logs do cluster são coletados e registrados no ClusterOutput.

Configuração do Splunk

Para configurar o Splunk, siga as seguintes etapas:

1. Clique em Configurações na barra de navegação superior e, em seguida, selecione Índices.
   
   

   

   
   
2. Clique em Novo índice e em Criar um índice.
   
   

   

   
   

   
   

   

   
   
3. Clique em Configurações na barra de navegação superior e, em seguida, selecione Entrada de dados.
   
   

   

   
   
4. Clique em Coletor de evento HTTP
   
   

   

   
   
5. Clique em Configurações Globais para habilitar a criação do novo token.
   
   

   

   
   
6. Habilite e salve as Configurações Globais.
   
   

   

   
   
7. Clique em Novo token para criar o token.
   
   

   

   
   
8. Insira um nome para o Coletor de evento HTTP e clique em Avançar.
   
   

   

   
   
9. Clique em Novo e insira os detalhes de Tipo de origem.
   
   

   

   
   
10. Role para baixo e selecione Índice na lista de índices disponíveis e clique em Avançar na barra de navegação superior.
    
    

    

    
    
11. Verifique os dados e clique em Submeter.
    
    

    

    
    
12. Uma vez criado, busque os detalhes de ID do Token, Índice, Origem, Tipo de Origem. Você precisará deles ao configurar o ClusterOutput.
    
    

    

    
    

Como pesquisar no Splunk

1. Clique em Pesquisar e Relatar.
   
   

   

   
   
2. Busque com base em Origem, Índice e Tipo de Origem.
   
   

   

   
   

   
   

   

   
   

Solução de problemas

Se, por algum motivo, os logs do aplicativo não estiverem sendo enviados para o Splunk, tente o seguinte:

1. Altere o nível de log do Fluentd para depurar

2. Consulte o pod Fluentd:

   kubectl patch loggings.logging.banzaicloud.io rancher-logging-root --type=json -p '[{"op":"add","path":"/spec/fluentd/logLevel","value":debug}]'
   kubectl -n cattle-logging-system exec -it sts/rancher-logging-root-fluentd cat /fluentd/log/out

   Observação: os logs do Fluentd devem indicar a causa dos dados não serem enviados para o Splunk.
3. Depois de corrigir o problema, restaure o nível de log do FluentD:

   kubectl patch loggings.logging.banzaicloud.io rancher-logging-root --type=json -p '[{"op":"remove","path":"/spec/fluentd/logLevel"}]'