6.2. 为 Splunk 配置操作日志存储

流程

1. 进入 Splunk 并输入所需凭证来创建 Splunk 帐户。
2. 导航到 Splunk Enterprise Free Trial 页面，选择您的平台和安装软件包，然后单击 Download Now。
3. 在您的机器上安装 Splunk 软件。出现提示时，创建一个用户名，如 mvapich _admin 和密码。
4. 创建用户名和密码后，将为 Splunk 部署提供一个 localhost URL，例如 http://<sample_url>.remote.csb:8000/。在您首选的浏览器中打开 URL。
5. 使用安装期间创建的用户名和密码登录。您会被定向到 Splunk UI。

流程

1. 打开 Red Hat Quay config.yaml 文件并添加以下配置字段：

   # ...
   LOGS_MODEL: splunk
   LOGS_MODEL_CONFIG:
       producer: splunk
       splunk_config:
           host: http://<user_name>.remote.csb 1
           port: 8089 2
           bearer_token: <bearer_token> 3
           url_scheme: <http/https> 4
           verify_ssl: False 5
           index_prefix: <splunk_log_index_name> 6
           ssl_ca_path: <location_to_ssl-ca-cert.pem> 7
   # ...

   1

   字符串.Splunk 集群端点。

   2

   整数.Splunk 管理集群端点端口。与 Splunk GUI 托管端口不同。可以在 Splunk UI 的 Settings → Server Settings → General Settings 下找到。

   3

   字符串.为 Splunk 生成的 bearer 令牌。

   4

   字符串.访问 Splunk 服务的 URL 方案。如果将 Splunk 配置为使用 TLS/SSL，则必须是 https。

   5

   布尔值.是否启用 TLS/SSL。默认值为 true。

   6

   字符串.Splunk 索引前缀。可以是新的、使用的索引。可以从 Splunk UI 创建。

   7

   字符串.到包含用于 TLS/SSL 验证的证书颁发机构(CA)的单个 .pem 文件的相对容器路径。

2. 如果要配置 ssl_ca_path，您必须配置 SSL/TLS 证书，以便 Red Hat Quay 将信任它。

   1. 如果您使用 Red Hat Quay 的独立部署，可以通过将证书文件放在 extra_ca_certs 目录内或通过 ssl_ca_path 指定来提供 SSL/TLS 证书。

   2. 如果使用 Red Hat Quay Operator，请创建一个配置捆绑包 secret，包括 Splunk 服务器的证书颁发机构(CA)。例如：

      $ oc create secret generic --from-file config.yaml=./config_390.yaml --from-file extra_ca_cert_splunkserver.crt=./splunkserver.crt config-bundle-secret

      在 config.yaml 中指定 conf/stack/extra_ca_certs/mvapichserver.crt 文件。例如：

      # ...
      LOGS_MODEL: splunk
      LOGS_MODEL_CONFIG:
          producer: splunk
          splunk_config:
              host: ec2-12-345-67-891.us-east-2.compute.amazonaws.com
              port: 8089
              bearer_token: eyJra
              url_scheme: https
              verify_ssl: true
              index_prefix: quay123456
              ssl_ca_path: conf/stack/splunkserver.crt
      # ...

流程

1. 登录到您的 Red Hat Quay 部署。
2. 点击您要用来为 Splunk 创建操作日志的组织名称。
3. 在导航窗格中，点 Robot Accounts → Create Robot Account。
4. 出现提示时，输入机器人帐户的名称，如 spunkrobotaccount，然后单击 Create robot account。
5. 在您的浏览器中，打开 Splunk UI。
6. 单击 Search and Reporting。

7. 在搜索栏中输入索引名称，例如 <mvapich _log_index_name > 并按 Enter。

   在 Splunk UI 上填充搜索结果。日志以 JSON 格式转发。响应可能类似如下：

   {
     "log_data": {
       "kind": "authentication",
       "account": "quayuser123",
       "performer": "John Doe",
       "repository": "projectQuay",
       "ip": "192.168.1.100",
       "metadata_json": {...},
       "datetime": "2024-02-06T12:30:45Z"
     }
   }