Splunk Routing к разным индексам

splunkers!

Заявление о проблеме

  • В моих журналах есть записи INFO, WARNING и DEBUG. Записи журнала DEBUG содержат информацию о клиенте, которую я не хотел бы раскрывать более широкой аудитории.
  • Я хочу, чтобы некоторые конкретные пользователи в команде имели доступ к журналам с этими записями журнала DEBUG. Другие не должны иметь к нему доступ.

Мое решение

  • Создайте 2 индекса. 'index-normal' и 'index-debug'.

    • Have roles and users created so that the access to these indexers is provided accordingly. Easy. Can be managed!
    • На сервере пересылки у меня есть 2 сегмента, каждый из которых соответствует индексации одного и того же журнала в другой индекс. Обратите внимание, что я пытаюсь обойти props.conf и transforms.conf в индексаторе, используя queue = indexQueue в одном из разделов.

    [monitor: ///mypath/abc.log] disabled = false index = index-normal sourcetype = mysourcetype

    [monitor: ///mypath/abc.log] disabled = false index = index-debug sourcetype = mysourcetype queue = indexQueue

  • С приведенной выше конфигурацией я пытаюсь дважды проиндексировать один и тот же файл и отправить их в два отдельных индекса. Один (index) проходит через конфигурации props.conf и transforms.conf в индексаторе, а другой (index-debug) в обход его.

  • В индексаторе я удаляю журналы записей журнала, в которых есть строка DEBUG.

    props.conf [mysourcetype] TRANSFORMS-null = setnull NO_BINARY_CHECK = 1 pulldown_type = 1

    transforms.conf: [setnull] REGEX = DEBUG DEST_KEY = очередь FORMAT = nullQueue

Излишне говорить, что это не работает.

Вопросы. Это лучший способ справиться с этой ситуацией? Я пытаюсь дважды проиндексировать один и тот же журнал (и, возможно, этого не происходит). Есть ли лучший подход с использованием некоторой логики в конце индексатора? - Если нужно использовать такой подход, в чем я ошибаюсь?

Спасибо!


splunk
person mmukhe    schedule 16.12.2015    source источник
comment
Нужно ли выполнять поиск пользователю, которому не разрешено просматривать журналы DEBUG? В противном случае вы можете проиндексировать все свои журналы в одном индексе и создать информационную панель, доступную только для чтения, без доступа к панели поиска. На этой панели вы будете фильтровать данные с уровнем DEBUG на ваших диаграммах.   -  person CyrilleGuimezanes    schedule 16.12.2015
comment
Нужно ли выполнять поиск пользователю, которому не разрешено просматривать журналы DEBUG? >> Да   -  person mmukhe    schedule 17.12.2015
comment
В этом случае я думаю, что ваше решение для индексации данных в двух разделенных индексах является хорошим. Только поместите свою DEBUG в index-debug, а затем вы создадите диаграмму на двух индексах. Я не знаю, сделает ли пользователь без прав отладки запрос на индекс, получит ошибку или нет результата ... Если это ошибка, нет, выбор, вам нужно дважды проиндексировать данные :(   -  person CyrilleGuimezanes    schedule 17.12.2015

Ответы (1)


arrow_upward
0
arrow_downward

Один из подходов, который я могу придумать, - это использовать поисковый фильтр.

Используйте только один индекс и принимайте все, что есть в нем. Создайте две роли: одну для отладки, одну для других. Для роли отладки добавьте фильтр поиска, скажем, level! = DEBUG, чтобы исключить все события в индексе с уровнем DEBUG. это приведет к тому, что строка «level! = DEBUG» будет добавлена ​​ко всем поисковым запросам, выполняемым пользователями, принадлежащими к этой конкретной роли.

прочтите ниже

http://docs.splunk.com/Documentation/Splunk/6.4.1/Security/Addandeditroles#Search_filter_format

person jozef    schedule 16.06.2016