将数据发送到 Splunk

概述

在本主题中，您可以了解如何使用 Insights 实时数据导出功能将数据发送到 Splunk 并在其中使用。

先决条件

备注：

Configure real-time data export before configuring Splunk reporting.

• Splunk Enterprise version 9.0.0 and higher.
• Splunk Enterprise deployed inside a Docker container (documentation version 9.0.0).
• Splunk Add-on for Microsoft Cloud Service to consume data through Event Hubs.

Configure Splunk integration with Event Hubs

配置 Splunk 加载项，以实现 Microsoft 云服务与 Azure 事件中心的集成。

下表列出了用于使用事件中心数据的组件。

组件	描述
输入	来自数据源（例如，由 Microsoft Data Services 加载项添加的 EventHub）中的读取器。
索引	存储来自可查询的输入的数据。
搜索和报告	从即席查询到持久性仪表板的数据探索

创建事件索引

您需要创建事件索引以与事件中心集成。

在 Splunk 中定义新索引

备注：

除非您需要特定的索引设置，否则请考虑使用默认值。

Set up Azure connection

To authenticate Splunk with Azure, you need to create an Azure AD application and a service principal.

1. 登录到 portal.azure.com

2. 向 Azure AD 注册应用程序并创建服务主体。

3. Connect to Splunk Add-on for Microsoft Cloud Services using the Client ID / Tenant ID (Directory (tenant) ID in Azure). Alternatively, you can use Client secret.

   

Add data through Splunk Web

定义输入并将数据提取到索引中。

Add data input using Splunk Web and configure the following settings:

• Azure 事件中心命名空间 (FQDN)

• Azure 事件中心名称

• Azure 事件中心使用组

  备注：

  Use More options to set the preferred index defined in Create event index.

  

Explore data

To explore the dataset you can start sampling available data.

通过筛选和分组来优化数据（例如，查看作业的最近事件计数）。