红帽全球峰会You are viewing documentation for a release that is no longer maintained. To view the documentation for the most recent version, see the latest RHACS docs.
第 11 章 与 Splunk 集成
如果您使用 Splunk，您可以将 Red Hat Advanced Cluster Security for Kubernetes 的警报转发到 Splunk，并从 Splunk 内查看漏洞和合规性相关数据。
根据您的用例，您可以使用以下方法将 Red Hat Advanced Cluster Security for Kubernetes 与 Splunk 集成：
通过在 Splunk 中使用 HTTP 事件收集器
- 使用 event collector 选项转发警报和审计日志数据
使用 StackRox Kubernetes 安全平台附加组件
使用附加组件将漏洞检测和合规性数据拉取到 Splunk 中
注意只有在您使用 Red Hat Advanced Cluster Security for Kubernetes 版本 3.0.51.0 或更新版本时，StackRox Kubernetes 安全平台附加组件才可用。
您可以使用其中一项或两个集成选项将 Red Hat Advanced Cluster Security for Kubernetes 与 Splunk 集成。
11.1. 使用 HTTP 事件收集器
您可以使用 HTTP 事件收集器将 Red Hat Advanced Cluster Security for Kubernetes 的警报转发到 Splunk。
要使用 HTTP 事件收集器将 Red Hat Advanced Cluster Security for Kubernetes 与 Splunk 集成，请按照以下步骤操作：
- 在 Splunk 中添加新的 HTTP 事件收集器，并获取令牌值。
- 使用令牌值在 Red Hat Advanced Cluster Security for Kubernetes 中设置通知。
- 识别您要发送通知的策略，并更新这些策略的通知设置。
11.1.1. 在 Splunk 中添加 HTTP 事件收集器
为您的 Splunk 实例添加新的 HTTP 事件收集器，并获取令牌。
流程
-
在 Splunk 仪表板中，导航到 Settings
Add Data。 - 点 Monitor。
- 在 Add Data 页面中，点 HTTP Event Collector。
- 为事件收集器输入 Name，然后点 Next >。
- 接受默认 Input Settings 并点 Review >。
- 查看事件收集器属性并点击 Submit >。
- 复制事件 收集器的 Token 值。您需要此令牌值在 Red Hat Advanced Cluster Security for Kubernetes 中配置与 Splunk 集成。
11.1.1.1. 启用 HTTP 事件收集器
您必须启用 HTTP 事件收集器令牌，然后才能接收事件。
流程
-
在 Splunk 仪表板中，导航到 Settings
Data inputs。 - 点 HTTP Event Collector。
- 点 Global Settings。
- 在打开的对话框中，单击 Enabled，然后单击 Save。
11.1.2. 在 Red Hat Advanced Cluster Security for Kubernetes 中配置 Splunk 集成
使用令牌值在 Red Hat Advanced Cluster Security for Kubernetes 中创建一个新的 Splunk 集成。
流程
-
在 RHACS 门户网站中，导航至 Platform Configuration
Integrations。 - 向下滚动到 Notifier Integrations 部分，然后选择 Splunk。
-
点 New Integration （
添加图标）。 - 输入 Integration Name 的名称。
-
在 HTTP 事件收集器 URL 字段中输入您的 Splunk URL。如果端口号不是 HTTPS，或者
80代表 HTTP，则必须指定端口号。您还必须在 URL 末尾添加 URL 路径/services/collector/event。例如：https://<splunk-server-path>:8088/services/collector/event。 在 HTTP Event Collector Token 字段中输入您的令牌。
注意如果您使用 Red Hat Advanced Cluster Security for Kubernetes 版本 3.0.57 或更新版本，您可以为 Alert 事件指定自定义 Source Type，为 Audit 事件指定 Source Type。
-
选择 Test （
checkmark图标）以发送测试消息，以验证与 Splunk 集成是否正常工作。 -
选择 Create (
saveicon)来创建配置。
11.1.3. 配置策略通知
为系统策略启用警报通知。
流程
-
在 RHACS 门户网站中，导航至 Platform Configuration
Policies。 - 选择您要为其发送警报的一个或多个策略。
- 在 Bulk actions 下，选择 Enable notification。
在 Enable notification 窗口中，选择 Splunk notifier。
注意如果您还没有配置任何其他集成，系统会显示一个没有配置通知的消息。
- 单击 启用。
- Red Hat Advanced Cluster Security for Kubernetes 根据选择发送通知。要接收通知，您必须首先为策略分配通知程序。
- 通知仅针对给定警报发送一次。如果您已将通知程序分配给策略，则不会收到通知，除非违反情况生成新警报。
Red Hat Advanced Cluster Security for Kubernetes 在以下情况下创建新警报：
- 首次在部署中发生策略违反情况。
- 在解决了之前部署的策略警报后，在部署后出现运行时策略违反情况。
