https://www.splunk.com
  • Splunkサイト
    • Splunk Answers
    • ブログ
    • Community
    • .conf
    • Developers
    • Documentation
    • Splunk.com
    • Splunkbase
    • サポート
    • トレーニング
    • User Groups
    • ビデオ
https://www.splunk.com
  • ブログ
  • カテゴリー
    カテゴリー
    • .conf & SplunkLive!
    • DevOps
    • 業種・業界
    • IT
    • 経営陣
    • Learn
    • パートナー
    • データプラットフォーム
    • セキュリティ
    • Splunk Life
    • Tips
    Category Spot Image
    電子書籍
    外形監視のベストプラクティス Synthetic Monitoringの紹介

    Webサイトのパフォーマンスが広告収入、ユーザーエンゲージメント、SEOランキングに与える影響、外形監視を使ったソリューションを紹介

    詳細はこちら
  • ライター
    ライター
    • Splunk
    • Guest
    • 江藤 愛
    • 大谷 和紀
    • 甲斐 逸郎
    • 加藤 教克
    • 塚本 政彦
    • 仲間 力
    • 野村 健
    • 村田 達宣
    • 矢崎 誠二
    • 山内 一洋
    • 山村 悟史
    • 横田 聡
    • Gary Steele
    • Spiros Xanthos
    • Garth Fort
    • Simon Davies
    • Ryan Kovar
    • Jane Wong
    • ライター一覧
    Author Spot Image
    電子書籍
    SIEM導入ガイド

    適切なSIEMソリューションがどのように役立つかを解説した最新版

    電子書籍を読む
  • メール配信
  • 無料トライアル
https://www.splunk.com 無料トライアル
ブログ
カテゴリー
  • .conf & SplunkLive!
  • DevOps
  • 業種・業界
  • IT
  • 経営陣
  • Learn
  • パートナー
  • データプラットフォーム
  • セキュリティ
  • Splunk Life
  • Tips
ライター
  • Splunk
  • Guest
  • 江藤 愛
  • 大谷 和紀
  • 甲斐 逸郎
  • 加藤 教克
  • 塚本 政彦
  • 仲間 力
  • 野村 健
  • 村田 達宣
  • 矢崎 誠二
  • 山内 一洋
  • 山村 悟史
  • 横田 聡
  • Gary Steele
  • Spiros Xanthos
  • Garth Fort
  • Simon Davies
  • Ryan Kovar
  • Jane Wong
  • ライター一覧
メール配信
Splunkサイト
  • Splunk Answers
  • ブログ
  • Community
  • .conf
  • Developers
  • Documentation
  • Splunk.com
  • Splunkbase
  • サポート
  • トレーニング
  • User Groups
  • ビデオ
TIPS & TRICKS

Splunkに燃料を与える:Universal Forwarderによるリアルタイムでのデータ取込方法とインストール (パート1)

Share:

Splunkは強力なデータ分析プラットフォームです。

ですが、Splunkがその能力を十分に発揮するには当然ながらデータが無ければなりません。

私がSplunkの勉強をし始め、Splunk Fundamentals Iを受講してSPL(サーチ処理言語)の基礎を理解し、「よし、じゃあLinuxサーバのログでも解析するか」となった時にぶつかった壁が「どうやってリモートのサーバからログをSplunkに取り込むのか」、「どのようなログを取り込めるのか」でした。

本ブログ記事では、同じような悩みを抱える方へUniversal Forwarder(ユニバーサルフォワーダー)を使用したデータ取込方法パート1として、以下1から3についてご紹介します。4から6はパート2でご紹介しています。

パート1

  1. 様々なデータ取込方法
  2. Universal Forwarderとは
  3. インストール方法

パート2

  1. データ送信設定(コマンドライン)
  2. Add-onによるデータ送信
  3. 次のステップ

1. Splunkの様々なデータ取込方法

Splunkにはローカルデータからクラウドサービスのデータ取込まで様々なデータ取込方法が用意されてます。この中で最もよく使用されるのがUniversal Forwarderを使用したデータ取込です。

Splunkのデータ取込方法

2. Universal Forwarderとは

Universal Forwarder(ユニバーサル フォワーダー)とはWindows OSもしくはUnix系OSで動作するエージェントです。

収集したいログがあるマシンにインストールすることで、ローカルファイルもしくはスクリプト実行結果をSplunkサーバに送信します。 乱暴な言い方をすれば、データをテキストファイルで出力さえできればUniversal Forwarderで送信し、Splunkの強力な分析エンジンにより解析が可能になります。

アーキテクチャを見てみましょう。図の赤枠で囲ったものがUniversal Forwarder(図中ではUniv. Forwarderと記載)です。 (同じ位置づけとしてHeavy Forwarderというものもありますが、今回は割愛いたします)

Universal Forwarderに関わるアーキテクチャ
図:Universal Forwarderに関わるアーキテクチャ

このようにUniversal Forwarderは収集したデータをSplunk(データ格納用であるIndexerサーバ)に送信します。 使用する通信はデフォルトでTCP 9997番ポートで、ポート番号は変更することもできます。

また、送信データ圧縮や暗号化、送信先のロードバランシング、設定統合管理などエンタープライズ環境に対応するための様々な機能を備えています。 どのファイルを送信するかについてはコマンドラインによる設定もしくは設定ファイルで指定できます。詳しくは後ほど見ていきます。

3. Universal Forwarderのインストール方法

以降では、Splunk Enterpriseが一台のサーバにインストールされている場合(Search HeadとIndexerに分けていない場合)を想定して進めます。

なお、Splunk Cloudを使用する場合は少々設定方法が異なります。 詳細はこちらで動画にまとめておりますので、是非ご覧になってください。

インストーラ Universal ForwarderはSplunk Webからダウンロードすることができます。

Universal Forwarderのダウンロードページ
図:Universal Forwarderのダウンロードページ

このようにUniversal Forwarderは、Windows、Linux、MacなどのOSに対応しております。 よく使用されるWindows、Linuxのそれぞれのインストール方法を説明したいと思います。

Windows版のインストール手順

  1. インストーラのダウンロード

インストール対象のサーバOS、ビットに対応するUniversal Forwarderを選択します。ページ遷移後、インストーラの自動ダウンロードが始まります。またはwget用のURLもありますので、どちらかの方法でインストーラをデータ送信したいサーバに保存します。

図:Windows版Universal Forwarderダウンロード
図:Windows版Universal Forwarderダウンロード

  1. インストール

ダウンロードしたインストーラを起動するとインストールが始まります。
(バージョンにより異なる場合がございます。本記事ではバージョン8.1.0を使用しています)
ライセンス条項を確認し、チェックを入れる。

ライセンス条項を確認し、チェックを入れる

  1. Universal Forwarderのアカウントを作成する

Universal Forwarderのアカウントを作成する

Deployment ServerとはUniversal Forwarderを遠隔管理するためのサーバです。今回はこちらには触れませんので、空欄のままにします。もしDeployment Serverを使用する場合は記入をお願いします。インストール後でも設定は可能です。

Deployment Serverの設定

データ送信先のSplunkサーバのホスト名もしくはIPアドレスとポート番号を指定します。特に要件がない場合はポート番号はデフォルトの9997をご指定ください。

データ送信先の設定

最後にInstallボタンをクリックし、インストールを実行します。

インストール開始

インストール完了です。Finishボタンを押せばインストール完了です。 残りは後述するSplunk側の受信設定をして設定完了です。

インストール完了

なお、Windows版の場合はサービスとして実行され、サーバ起動時にUniversal Forwarderも自動的に起動します。

サービス

Linux版のインストール手順

  1. インストール対象サーバのCPU、OSに対応するUniversal Forwarderを選択します。

Linux版Universal Forwarderダウンロード図:Linux版Universal Forwarderの一覧

  1. ページ遷移後、インストーラの自動ダウンロードが始まります。またはwget用のURLも表示されていますので、どちらかの方法でインストーラをデータ送信したいサーバに保存します。

Linux版Universal Forwarderダウンロードページ図:Linux版Universal Forwarderダウンロードページ

  1. インストール
    以降のインストール手順はすべてCLIで行います。
    • ファイルを展開
      それぞれのファイル形式に応じて展開します。いずれも/opt/splunkforwarderに展開されます。

      tgzの場合
      xvzf .tgzファイルのパス -C /opt

      .rpmの場合
      rpm -i .rpmファイルのパス

      .debの場合
      dpkg -i .debファイルのパス

      詳細はこちらのドキュメントをご参照ください。



    • インストール実行
      ※以下の$SPLUNK_HOMEはUniversal Forwarderのインストールディレクトリに読み替えてください。デフォルトは/opt/splunkforwarderです。

      binに移動
      cd $SPLUNK_HOME/bin

      インストール開始
      [sudo] ./splunk start
      ※ライセンスに自動同意するには
      [sudo] ./splunk start --accept-license

      ライセンスを確認し、YES
      Do you agree with this license? [y/n]: y

      Universal Forwarderのユーザ、パスワードを作成
      Please enter an administrator username: ユーザ名
      Password must contain at least:
      * 8 total printable ASCII character(s).
      Please enter a new password: パスワード
      Please confirm new password: 同じパスワード


      データ送信先の設定
      [sudo] ./splunk add forward-server Splunkサーバのホスト名orIPアドレス:ポート番号(デフォルト9997)
      例:./splunk add forward-server splunk-idx1.mycompany.com:9997


      サーバ起動時に自動起動するように設定
      [sudo] ./splunk enable boot-start

      ※上記はrootユーザとして起動されます。もし特定ユーザで起動したい場合はドキュメントを参照ください。
      残りは後述するSplunk側の受信設定をして設定完了です。
    • Splunk側の受信設定
      次にSplunk側でUniversal Forwarderからのデータ受信設定を行います。

Splunk EnterpriseにWeb UIでアクセス

受信設定

ヘッダーの設定 > 転送と受信 をクリック

受信設定

「受信の設定」の「新規追加」 をクリック

受信設定

9997(またはインストール時に指定したポート番号)を入力し保存ボタンをクリック

受信設定

続いて各設定方法についてはパート2をご覧ください。

  • 分析方法について学習したい場合

Splunk Fundamentals Iで無償のトレーニングをご提供しておりますので是非ご活用ください。

  • どんなログを取り込めるか知りたい場合

Splunkbaseでご関心のある製品があるか是非ご確認ください。

ここまで読んで頂きありがとうございました。 Universal Forwarderを活用してSplunkのデータ分析の幅を広げてください!
続いて各設定方法についてはパート2をご覧ください。

December 11, 2020
山村 悟史
Posted by

山村 悟史

データに翻弄されることなく価値を引き出すSplunkのData-to-Everythingの思想に共感し2020年Splunk Services Japan合同会社入社。現在は幅広いお客様へSplunkとは?を知って頂くためプリセールス活動として提案、検証、ワークショップなどを実施。
入社前は主にITサービスマネジメントプラットフォーム構築、データセンタ管理などを経験。

TAGS
Cloud Splunk Universal Forwarder
Show All Tags
Show Less Tags

Related Posts

SPLUNK ON TWITTER
  • @Splunk
  • @splunkanswers
  • @SplunkforGood
  • @SplunkDocs
  • @splunkdev
  • @splunkgov
SPLUNK ON FACEBOOK
  • @Facebook
SPLUNK ON INSTAGRAM
  • Follow us on Instagram
SPLUNK ON LINKEDIN
  • Follow us on LinkedIn
SPLUNK ON YOUTUBE
  • Subscribe to our Channel
SPLUNK ON SLIDESHARE
  • Follow us on SlideShare
Splunk製品
  • Splunk Cloud Platform
  • Splunk Enterprise
  • Splunk IT Service Intelligence
  • Splunk On-Call
  • Splunk Enterprise Security
  • Splunk SOAR
  • Splunk Infrastructure Monitoring
  • Splunk APM
ソリューション
  • オブザーバビリティ
  • セキュリティ
  • プラットフォーム
お客様事例
リソース
  • 電子書籍
  • アナリストレポート
  • ホワイトペーパー
  • ウェビナー
  • ビデオ
お問い合わせ
  • サポート
  • 営業へのお問い合わせ
Splunk Sites
  • Splunk Answers
  • 日本語ブログ
  • Community
  • .conf
  • Developers
  • Documentation
  • Splunkbase
  • SplunkLive!
  • T-shirt Store
  • トレーニング
  • User Groups
Splunk
Sitemap | Privacy
© 2005-2023 Splunk Inc. All rights reserved.
Splunk、Splunk>およびTurn Data Into Doingは、米国およびその他の国におけるSplunk Inc.の商標または登録商標です。他のすべてのブランド名、製品名、または商標は、それぞれの所有者に帰属します。