将数据发送到 Splunk

概述

在本主题中，您可以了解如何使用 Insights 实时数据导出功能将数据发送到 Splunk 并在其中使用。

先决条件

备注： 在配置 Splunk 报告之前配置实时数据导出 。

• Splunk Enterprise 版本 9.0.0 及更高版本。
• 部署在 Docker 容器内的 Splunk Enterprise (文档版本 9.0.0) 。
• 适用于 Microsoft Cloud Service 的 Splunk 加载项，用于通过事件中心使用数据。

配置 Splunk 与事件中心的集成

为 Microsoft 云服务与 Azure 事件中心的集成配置 Splunk 加载项。

下表列出了用于使用事件中心数据的组件。

组件	描述
输入	来自数据源（例如，由 Microsoft Data Services 加载项添加的 EventHub）中的读取器。
索引	存储来自可查询的输入的数据。
搜索和报告	从即席查询到持久性仪表板的数据探索

创建事件索引

您需要创建事件索引以与事件中心集成。

在 Splunk 中定义新索引

注意： 除非您需要特定的索引设置，否则请考虑使用默认值。

设置 Azure 连接

要使用 Azure 对 Splunk 进行身份验证，您需要创建 Azure AD 应用程序和服务主体。

1. 登录到 portal.azure.com
2. 向 Azure AD 注册应用程序并创建服务主体。

3. 使用客户端 ID/租户 ID（在 Azure 中为“ 目录（租户）ID ”） 连接到 Splunk Add-on for Microsoft Cloud 服务 。或者，您可以使用客户端密码。

   
   

   

   
   

通过 Splunk Web 添加数据

定义输入并将数据提取到索引中。

使用 Splunk Web 添加数据输入并配置以下设置：

• Azure 事件中心命名空间 (FQDN)
• Azure 事件中心名称

• Azure 事件中心使用组

  注意：使用“更多选项”设置在创建事件索引中定义的首选索引。
  
  

  

  
  

探索数据

要探索数据集，您可以开始对可用数据进行采样。

通过筛选和分组来优化数据（例如，查看作业的最近事件计数）。