将数据发送到 Splunk

概述

在本主题中，您可以了解如何使用 Insights 实时数据导出功能将数据发送到 Splunk 并在其中使用。

先决条件

备注：

在配置 Splunk 报告之前配置实时数据导出。

• Splunk Enterprise 版本 9.0.0 及更高版本。
• 部署在 Docker 容器内的 Splunk Enterprise（文档版本 9.0.0）。
• Microsoft Cloud Service 专用 Splunk 加载项，用于通过事件中心使用数据。

Configure Splunk integration with Event Hubs

配置 Splunk 加载项，以实现 Microsoft 云服务与 Azure 事件中心的集成。

下表列出了用于使用事件中心数据的组件。

组件	描述
输入	来自数据源（例如，由 Microsoft Data Services 加载项添加的 EventHub）中的读取器。
索引	存储来自可查询的输入的数据。
搜索和报告	从即席查询到持久性仪表板的数据探索

创建事件索引

您需要创建事件索引以与事件中心集成。

在 Splunk 中定义新索引

备注：

除非您需要特定的索引设置，否则请考虑使用默认值。

Set up Azure connection

要使用 Azure 对 Splunk 进行身份验证，您需要创建一个 Azure AD 应用程序和服务主体。

1. 登录到 portal.azure.com

2. 向 Azure AD 注册应用程序并创建服务主体。

3. 使用客户端 ID/租户 ID（Azure 中的 目录（租户）ID ） 连接到适用于 Microsoft 云服务的 Splunk 加载项 。或者，您可以使用客户端密码。

   

Add data through Splunk Web

定义输入并将数据提取到索引中。

使用 Splunk Web 添加数据输入并配置以下设置：

• Azure 事件中心命名空间 (FQDN)

• Azure 事件中心名称

• Azure 事件中心使用组

  备注：

  使用“更多选项”设置在创建事件索引中定义的首选索引。

  

Explore data

要探索数据集，您可以开始对可用数据进行采样。

通过筛选和分组来优化数据（例如，查看作业的最近事件计数）。