第14章 Splunk との統合

Splunk を使用している場合は、Red Hat Advanced Cluster Security for Kubernetes から Splunk にアラートを転送し、Splunk 内から違反、脆弱性検出、コンプライアンス関連データを表示できます。

重要

現在、Splunk インテグレーションは IBM Power (ppc64le) および IBM Z (s390x) ではサポートされていません。

ユースケースに応じて、次の方法を使用して、Red Hat Advanced Cluster Security for Kubernetes を Splunk と統合できます。

Splunk で HTTP イベントコレクターを使用する場合:
- イベントコレクターオプションを使用して、アラートと監査ログデータを転送します。
Red Hat Advanced Cluster Security for Kubernetes アドオンを使用する場合:
- アドオンを使用して、違反、脆弱性検出、およびコンプライアンスのデータを Splunk に取り込みます。

これらの統合オプションの一方または両方を使用して、Red Hat Advanced Cluster Security for Kubernetes を Splunk と統合できます。

14.1. HTTP イベントコレクターの使用

HTTP イベントコレクターを使用して、Red Hat Advanced Cluster Security for Kubernetes から Splunk にアラートを転送できます。

HTTP イベントコレクターを使用して Red Hat Cluster Security for Kubernetes を Splunk と統合するには、次の手順に従います。

Splunk インスタンスの新しい HTTP イベントコレクターを追加し、トークンを取得します。

手順

Splunk ダッシュボードで、Settings Add Data に移動します。
Monitor をクリックします。
Add Data ページで、HTTP Event Collector をクリックします。
イベントコレクターの Name を入力し、Next > をクリックします。
デフォルトの Input Settings を受け入れて、Review > をクリックします。
イベントコレクターのプロパティーを確認し、Submit > をクリックします。
イベントコレクターの Token Value をコピーします。このトークン値は、Red Hat Advanced Cluster Security for Kubernetes で Splunk との統合を設定するために必要です。

イベントを受信する前に、HTTP イベントコレクタートークンを有効にする必要があります。

手順

トークン値を使用して、Red Hat Advanced Cluster Security for Kubernetes に新しい Splunk 統合を作成します。

手順

RHACS ポータルで、Platform Configuration Integrations に移動します。
Notifier Integrations セクションまでスクロールダウンし、Splunk を選択します。
New Integration (add アイコン) をクリックします。
Integration Name の名前を入力します。
Splunk URL を HTTP Event Collector URL フィールドに入力します。HTTPS の場合は 443、HTTP の場合は 80 でない場合は、ポート番号を指定する必要があります。また、URL の最後に URL パス /services/collector/event を追加する必要があります。たとえば、https://<splunk-server-path>:8088/services/collector/event です。
HTTP Event Collector Token フィールドにトークンを入力します。
注記
Red Hat Advanced Cluster Security for Kubernetes バージョン 3.0.57 以降を使用している場合は Source Type for Alert イベントと Source Type for Audit イベントのソースタイプを指定できます。
Test を選択してテストメッセージを送信し、Splunk との統合が機能していることを確認します。
Create を選択して設定を生成します。

システムポリシーのアラート通知を有効にします。

手順

RHACS ポータルで、Platform Configuration Policy Management に移動します。
アラートの送信先となるポリシーを 1 つ以上選択します。
Bulk actions で Enable notification を選択します。
Enable notification ウィンドウで、Splunk 通知機能を選択します。
注記
他の統合を設定していない場合、システムは通知機能が設定されていないメッセージが表示します。
Enable をクリックします。

注記

Red Hat Advanced Cluster Security for Kubernetes は、オプトインベースで通知を送信します。通知を受信するには、最初に通知機能をポリシーに割り当てる必要があります。
通知は、特定のアラートに対して 1 回だけ送信されます。ポリシーに通知機能を割り当てた場合、違反によって新しいアラートが生成されない限り、通知は受信されません。
Red Hat Advanced Cluster Security for Kubernetes は、次のシナリオに対して新しいアラートを作成します。
- ポリシー違反は、デプロイメントで初めて発生します。
- ランタイムフェーズのポリシー違反は、そのデプロイメントのポリシーに対する以前のランタイムアラートを解決した後のデプロイメントで発生します。