第 13 章 与 Splunk 集成
如果使用 Splunk，您可以将 Red Hat Advanced Cluster Security for Kubernetes 中的警报转发到 Splunk，并在 Splunk 中查看违反情况、漏洞检测和合规性数据。
目前，IBM Power (ppc64le)和 IBM Z (s390x)不支持 Splunk 集成。
根据您的用例，您可以使用以下方法之一将 Red Hat Advanced Cluster Security for Kubernetes 与 Splunk 集成：
通过在 Splunk 中使用 HTTP 事件收集器 ：
- 使用事件收集器选项转发警报和审计日志数据。
使用 Red Hat Advanced Cluster Security for Kubernetes 附加组件 ：
- 使用附加组件将违反、漏洞检测和合规数据拉取到 Splunk 中。
您可以使用其中一个或两个集成选项将 Red Hat Advanced Cluster Security for Kubernetes 与 Splunk 集成。
13.1. 使用 HTTP 事件收集器
您可以使用 HTTP 事件收集器将警报从 Red Hat Advanced Cluster Security for Kubernetes 转发到 Splunk。
要使用 HTTP 事件收集器将 Red Hat Advanced Cluster Security for Kubernetes 与 Splunk 集成，请按照以下步骤执行：
- 在 Splunk 中添加新的 HTTP 事件收集器并获取令牌值。
- 使用令牌值在 Red Hat Advanced Cluster Security for Kubernetes 中设置通知。
- 识别您要发送通知的策略，并更新这些策略的通知设置。
13.1.1. 在 Splunk 中添加 HTTP 事件收集器
为您的 Splunk 实例添加新的 HTTP 事件收集器，并获取令牌。
流程
-
在 Splunk 仪表板中，导航到 Settings
Add Data。 - 单击 Monitor。
- 在 Add Data 页面上，单击 HTTP Event Collector。
- 输入事件收集器的名称，然后点 Next >。
- 接受默认的 Input Settings 并点 Review >。
- 查看事件收集器属性并点 Submit >。
- 复制事件 收集器的 Token 值。您需要此令牌值来配置与 Red Hat Advanced Cluster Security for Kubernetes 中的 Splunk 集成。
13.1.1.1. 启用 HTTP 事件收集器
您必须启用 HTTP 事件收集器令牌，然后才能接收事件。
流程
-
在 Splunk 仪表板中，导航到 Settings
Data 输入。 - 单击 HTTP Event Collector。
- 单击 Global Settings。
- 在打开的对话框中，单击 Enabled，然后单击 Save。
13.1.2. 在 Red Hat Advanced Cluster Security for Kubernetes 中配置 Splunk 集成
使用令牌值在 Red Hat Advanced Cluster Security for Kubernetes 中创建一个新的 Splunk 集成。
流程
-
在 RHACS 门户网站中，进入 Platform Configuration
Integrations。 - 向下滚动到 Notifier Integrations 部分，然后选择 Splunk。
-
点 New Integration (
添加图标)。 - 输入 Integration Name 的名称。
-
在 HTTP Event Collector URL 字段中输入您的 Splunk URL。如果对于 HTTPS 不是
443，对于 HTTP 不是80，则需要指定一个端口号。您还必须在 URL 末尾添加 URL 路径/services/collector/event。例如：https://<mvapich-server-path>:8088/services/collector/event。 在 HTTP Event Collector Token 字段中输入您的令牌。
注意如果您使用 Red Hat Advanced Cluster Security for Kubernetes 版本 3.0.57 或更新版本，您可以为 Alert 事件指定自定义 Source Type，为 审计事件指定 Source Type。
-
选择 Test （
checkmark图标）来发送测试消息，以验证与 Splunk 的集成是否正常工作。 -
选择 Create (
saveicon)来创建配置。
13.1.3. 配置策略通知
为系统策略启用警报通知。
流程
-
在 RHACS 门户网站中，进入到 Platform Configuration
Policies。 - 选择您要为其发送警报的一个或多个策略。
- 在 Bulk actions 下，选择 Enable notification。
在 Enable notification 窗口中，选择 Splunk notifier。
注意如果您还没有配置任何其他集成，系统会显示一条没有配置通知程序的消息。
- 单击 启用。
- Red Hat Advanced Cluster Security for Kubernetes 根据选择发送通知。要接收通知，您必须首先为策略分配一个通知程序。
- 通知仅针对给定警报发送一次。如果您为策略分配了通知程序，则不会收到通知，除非违反了新警报。
Red Hat Advanced Cluster Security for Kubernetes 为以下情况创建新警报：
- 部署中第一次发生策略违反。
- 在解决该部署中策略的以前的运行时警报后，运行时策略违反会在部署中发生。
