第 13 章 与 Splunk 集成

流程

1. 在 Splunk 仪表板中，导航到 Settings Add Data。
2. 单击 Monitor。
3. 在 Add Data 页面上，单击 HTTP Event Collector。
4. 为事件收集器输入 Name，然后点 Next >。
5. 接受默认的 Input Settings 并点 Review >。
6. 检查事件收集器属性，并点击 Submit >。
7. 复制事件收集器的 Token Value。您需要此令牌值来配置在 Red Hat Advanced Cluster Security for Kubernetes 中与 Splunk 的集成。

流程

1. 在 RHACS 门户网站中，进入 Platform Configuration Integrations。
2. 向下滚动到 Notifier Integrations 部分，然后选择 Splunk。
3. 点 New Integration (添加 图标)。
4. 输入 Integration Name 的名称。
5. 在 HTTP 事件收集器 URL 字段中输入 Splunk URL。如果对于 HTTPS 不是 443，对于 HTTP 不是 80，则需要指定一个端口号。您还必须在 URL 末尾添加 URL 路径 /services/collector/event。例如： https://<splunk-server-path>:8088/services/collector/event。

6. 在 HTTP Event Collector Token 字段中输入您的令牌。

   注意

   如果您使用 Red Hat Advanced Cluster Security for Kubernetes 版本 3.0.57 或更新版本，可以为 Alert 事件和 Source Type 指定 Audit 事件。

7. 选择 Test (checkmark 图标)以发送测试信息以验证与 Splunk 集成是否有效。
8. 选择 Create (保存 图标)以创建配置。

流程

1. 在 RHACS 门户网站中，导航到 Platform Configuration Policies。
2. 选择您要为其发送警报的一个或多个策略。
3. 在 Bulk 操作 下，选择 Enable notification。

4. 在 Enable notification 窗口中，选择 Splunk notifier。

   注意

   如果您还没有配置任何其他集成，系统会显示一条没有配置通知程序的消息。

5. 单击 Enable。