第 14 章 与 Splunk 集成
如果使用 Splunk，您可以将 Red Hat Advanced Cluster Security for Kubernetes 的警报转发到 Splunk，并从 Splunk 中查看违反情况、漏洞检测和合规性相关数据。
目前，IBM Power (ppc64le)和 IBM Z (s390x)不支持 Splunk 集成。
根据您的用例，您可以使用以下方法将 Red Hat Advanced Cluster Security for Kubernetes 与 Splunk 集成：
通过在 Splunk 中使用 HTTP 事件收集器 ：
- 使用事件收集器选项转发警报和审计日志数据。
使用 Red Hat Advanced Cluster Security for Kubernetes 附加组件 ：
- 使用附加组件将违反、漏洞检测和合规数据拉取到 Splunk 中。
您可以使用一个或多个集成选项将 Red Hat Advanced Cluster Security for Kubernetes 与 Splunk 集成。
14.1. 使用 HTTP 事件收集器
您可以使用 HTTP 事件收集器将警报从 Red Hat Advanced Cluster Security for Kubernetes 转发到 Splunk。
要使用 HTTP 事件收集器将 Red Hat Advanced Cluster Security for Kubernetes 与 Splunk 集成，请按照以下步骤操作：
- 在 Splunk 中添加新的 HTTP 事件收集器，并获取令牌值。
- 使用令牌值在 Red Hat Advanced Cluster Security for Kubernetes 中设置通知。
- 识别您要发送通知的策略，并更新这些策略的通知设置。
14.1.1. 在 Splunk 中添加 HTTP 事件收集器
为您的 Splunk 实例添加新的 HTTP 事件收集器，并获取令牌。
流程
-
在 Splunk 仪表板中，进入 Settings
Add Data。 - 单击 Monitor。
- 在 Add Data 页面中，点 HTTP Event Collector。
- 输入事件收集器的名称，然后点 Next >。
- 接受默认的 Input Settings 并点 Review >。
- 查看事件收集器属性并点 Submit >。
- 复制事件收集器的 Token Value。您需要此令牌值在 Red Hat Advanced Cluster Security for Kubernetes 中配置与 Splunk 集成。
14.1.1.1. 启用 HTTP 事件收集器
您必须启用 HTTP 事件收集器令牌，然后才能接收事件。
流程
-
在 Splunk 仪表板中，进入 Settings
Data inputs。 - 点 HTTP Event Collector。
- 单击 Global Settings。
- 在打开的对话框中，单击 Enabled，然后单击 Save。
14.1.2. 在 Red Hat Advanced Cluster Security for Kubernetes 中配置 Splunk 集成
使用令牌值在 Red Hat Advanced Cluster Security for Kubernetes 中创建一个新的 Splunk 集成。
流程
-
在 RHACS 门户中，进入 Platform Configuration
Integrations。 - 向下滚动到 Notifier Integrations 部分，然后选择 Splunk。
-
点 New Integration (
添加图标)。 - 输入 集成名称。
-
在 HTTP Event Collector URL 字段中输入 Splunk URL。如果对于 HTTPS 不是
443，对于 HTTP 不是80，则需要指定一个端口号。您还必须在 URL 的末尾添加 URL 路径/services/collector/event。例如：https://<mvapich-server-path>:8088/services/collector/event。 在 HTTP Event Collector Token 字段中输入您的令牌。
注意如果您使用 Red Hat Advanced Cluster Security for Kubernetes 版本 3.0.57 或更新版本，您可以为 Alert 事件指定自定义 Source Type，为 审计事件指定 Source Type。
- 选择 Test 以发送测试消息，以验证与 Splunk 的集成是否正常工作。
- 选择 Create 来生成配置。
14.1.3. 配置策略通知
为系统策略启用警报通知。
流程
-
在 RHACS 门户中，进入 Platform Configuration
Policy Management。 - 选择您要为其发送警报的一个或多个策略。
- 在 Bulk actions 下，选择 Enable notification。
在 Enable notification 窗口中，选择 Splunk notifier。
注意如果您还没有配置任何其他集成，系统会显示一条没有配置通知程序的消息。
- 单击 Enable。
- Red Hat Advanced Cluster Security for Kubernetes 会根据选择发送通知。要接收通知，您必须首先为策略分配一个通知程序。
- 只有在给定警报中才会发送一次通知。如果您已为策略分配了通知程序，则不会收到通知，除非违反生成新警报。
Red Hat Advanced Cluster Security for Kubernetes 会在以下情况下创建新警报：
- 第一次在部署中发生策略违反情况。
- 在解决了该部署中策略的以前的运行时警报后，会在部署中发生 runtime-phase 策略违反的情况。
