第 13 章 与 Splunk 集成

流程

1. 在 Splunk 仪表板中，进入 Settings Add Data。
2. 单击 Monitor。
3. 在 Add Data 页面上，单击 HTTP Event Collector。
4. 输入事件收集器的名称，然后点 Next >。
5. 接受默认的 Input Settings 并点 Review >。
6. 查看事件收集器属性并点 Submit >。
7. 复制事件 收集器的 Token 值。您需要此令牌值来配置与 Red Hat Advanced Cluster Security for Kubernetes 中的 Splunk 集成。

流程

1. 在 RHACS 门户中，进入 Platform Configuration Integrations。
2. 向下滚动到 Notifier Integrations 部分，然后选择 Splunk。
3. 点 New Integration (添加 图标)。
4. 输入 Integration Name 的名称。
5. 在 HTTP Event Collector URL 字段中输入您的 Splunk URL。如果对于 HTTPS 不是 443，对于 HTTP 不是 80，则需要指定一个端口号。您还必须在 URL 末尾添加 URL 路径 /services/collector/event。例如： https://<mvapich-server-path>:8088/services/collector/event。

6. 在 HTTP Event Collector Token 字段中输入您的令牌。

   注意

   如果您使用 Red Hat Advanced Cluster Security for Kubernetes 版本 3.0.57 或更新版本，您可以为 Alert 事件指定自定义 Source Type，为 审计事件指定 Source Type。

7. 选择 Test 以发送测试消息，以验证与 Splunk 的集成是否正常工作。
8. 选择 Create 来生成配置。

流程

1. 在 RHACS 门户中，进入 Platform Configuration Policy Management。
2. 选择您要为其发送警报的一个或多个策略。
3. 在 Bulk actions 下，选择 Enable notification。

4. 在 Enable notification 窗口中，选择 Splunk notifier。

   注意

   如果您还没有配置任何其他集成，系统会显示一条没有配置通知程序的消息。

5. 单击 启用。