5.2. Splunk のアクションログストレージの設定

手順

1. Splunk に移動し、必要な認証情報を入力して、Splunk アカウントを作成します。
2. Splunk Enterprise Free Trial ページに移動し、プラットフォームとインストールパッケージを選択して、Download Now をクリックします。
3. マシンに Splunk ソフトウェアをインストールします。プロンプトが表示されたら、splunk_admin などのユーザー名とパスワードを作成します。
4. ユーザー名とパスワードを作成すると、Splunk 導入用のローカルホスト URL (例: http://<sample_url>.remote.csb:8000/) が提供されます。お好みのブラウザーで URL を開きます。
5. インストール時に作成したユーザー名とパスワードを使用してログインします。Splunk UI にリダイレクトします。

手順

1. Splunk または Splunk HTTP Event Collector (HEC) を使用するように Red Hat Quay を設定します。

   1. Splunk を使用する場合は、Red Hat Quay の config.yaml ファイルを開き、次の設定フィールドを追加します。

      # ...
      LOGS_MODEL: splunk
      LOGS_MODEL_CONFIG:
          producer: splunk
          splunk_config:
              host: http://<user_name>.remote.csb 

      1

      
              port: 8089 

      2

      
              bearer_token: <bearer_token> 

      3

      
              url_scheme: <http/https> 

      4

      
              verify_ssl: False 

      5

      
              index_prefix: <splunk_log_index_name> 

      6

      
              ssl_ca_path: <location_to_ssl-ca-cert.pem> 

      7

      
      # ...

      Copy to Clipboard Toggle word wrap

      1

      String。Splunk クラスターのエンドポイント。

      2

      整数。Splunk 管理クラスターのエンドポイントポート。Splunk GUI でホストされるポートとは異なります。Splunk UI の Settings Server Settings General Settings にあります。

      3

      String。Splunk 用に生成されたベアラートークン。

      4

      String。Splunk サービスにアクセスするための URL スキーム。Splunk が TLS/SSL を使用するように設定されている場合、これは https である必要があります。

      5

      ブール値。TLS/SSL を有効にするかどうか。デフォルトは True に設定されます。

      6

      文字列。Splunk インデックスの接頭辞。新しいインデックスまたは使用済みのインデックスを使用できます。Splunk UI から作成できます。

      7

      String。TLS/SSL 検証用の認証局 (CA) を含む単一の .pem ファイルへの相対コンテナーパス。

   2. Splunk HEC を使用する場合は、Red Hat Quay の config.yaml ファイルを開き、次の設定フィールドを追加します。

      # ...
      LOGS_MODEL: splunk
      LOGS_MODEL_CONFIG:
        producer: splunk_hec 

      1

      
        splunk_hec_config: 

      2

      
          host: prd-p-aaaaaq.splunkcloud.com 

      3

      
          port: 8088 

      4

      
          hec_token: 12345678-1234-1234-1234-1234567890ab 

      5

      
          url_scheme: https 

      6

      
          verify_ssl: False 

      7

      
          index: quay 

      8

      
          splunk_host: quay-dev 

      9

      
          splunk_sourcetype: quay_logs 

      10

      
      # ...

      Copy to Clipboard Toggle word wrap

      1

      Splunk HEC を設定する場合は splunk_hec を指定します。

      2

      Splunk HTTP Event Collector のアクションログ設定のログモデル設定。

      3

      Splunk クラスターのエンドポイント。

      4

      Splunk 管理クラスターのエンドポイントポート。

      5

      Splunk の HEC トークン。

      6

      Splunk サービスにアクセスするための URL スキーム。Splunk が SSL/TLS の背後にある場合は、https にする必要があります。

      7

      ブール値。HTTPS 接続の SSL/TLS 検証を有効 (true) または無効 (false) にします。

      8

      使用する Splunk インデックス。

      9

      このイベントをログに記録するホスト名。

      10

      使用する Splunk sourcetype の名前。

2. ssl_ca_path を設定している場合は、Red Hat Quay が信頼するように SSL/TLS 証明書を設定する必要があります。

   1. Red Hat Quay のスタンドアロンデプロイメントを使用している場合は、証明書ファイルを extra_ca_certs ディレクトリー内、または相対コンテナーパス内に配置して ssl_ca_path で指定することで、SSL/TLS 証明書を提供できます。

   2. Red Hat Quay Operator を使用している場合は、Splunk サーバーの認証局 (CA) を含む設定バンドルのシークレットを作成します。以下に例を示します。

      $ oc create secret generic --from-file config.yaml=./config_390.yaml --from-file extra_ca_cert_splunkserver.crt=./splunkserver.crt config-bundle-secret

      Copy to Clipboard Toggle word wrap

      config.yaml に conf/stack/extra_ca_certs/splunkserver.crt ファイルを指定します。以下に例を示します。

      # ...
      LOGS_MODEL: splunk
      LOGS_MODEL_CONFIG:
          producer: splunk
          splunk_config:
              host: ec2-12-345-67-891.us-east-2.compute.amazonaws.com
              port: 8089
              bearer_token: eyJra
              url_scheme: https
              verify_ssl: true
              index_prefix: quay123456
              ssl_ca_path: conf/stack/splunkserver.crt
      # ...

      Copy to Clipboard Toggle word wrap

手順

1. Red Hat Quay デプロイメントにログインします。
2. Splunk のアクションログの作成に使用する組織の名前をクリックします。
3. ナビゲーションウィンドウで、Robot Accounts Create Robot Account をクリックします。
4. プロンプトが表示されたら、ロボットアカウントの名前 (例: spunkrobotaccount) を入力して、Create robot account をクリックします。
5. ブラウザーで Splunk UI を開きます。
6. Search and Reporting をクリックします。

7. 検索バーにインデックスの名前 (例: <splunk_log_index_name>) を入力し、Enter を押します。

   検索結果が Splunk UI に表示されます。ログは JSON 形式で転送されます。応答は以下のようになります。

   {
     "log_data": {
       "kind": "authentication", 

   1

   
       "account": "quayuser123", 

   2

   
       "performer": "John Doe", 

   3

   
       "repository": "projectQuay", 

   4

   
       "ip": "192.168.1.100", 

   5

   
       "metadata_json": {...}, 

   6

   
       "datetime": "2024-02-06T12:30:45Z" 

   7

   
     }
   }

   Copy to Clipboard Toggle word wrap

   1

   ログイベントの種類を指しています。この例では、authentication はログエントリーが認証イベントに関連していることを示します。

   2

   イベントに関係するユーザーアカウント。

   3

   アクションを実行した個人。

   4

   イベントに関連付けられたリポジトリー。

   5

   アクションの実行元の IP アドレス。

   6

   イベントに関連する追加のメタデータが含まれている場合があります。

   7

   イベントが発生したときのタイムスタンプ。