Citrix Analyticsのアドオンアプリケーションを使用した Splunk アーキテクチャ

February 14, 2023

寄稿者:

Splunk は、次の 3 つの階層で構成されるアーキテクチャを採用しています。

コレクション

インデックス作成

検索中

Splunkは、データを簡単にSplunkに取り込むことができるさまざまなデータ収集メカニズムをサポートしています。これにより、データをインデックス化して検索できるようになります。この階層は、ヘビーフォワーダーまたはユニバーサルフォワーダーに他なりません。

アドオンアプリケーションは、ユニバーサルフォワーダーレイヤーではなくヘビーフォワーダーレイヤーにインストールする必要があります。なぜなら、よく構造化されたデータ (json、csv、tsv など) を除いて、ユニバーサルフォワーダーはログソースを解析してイベントを生成しないため、ログの形式を理解する必要があるアクションを実行できないためです。

また、Pythonの簡略化されたバージョンも付属しているため、機能するためにSplunkスタック全体を必要とするモジュラー入力アプリケーションとは互換性がありません。ヘビーフォワーダーはコレクション階層に他なりません。

ユニバーサルフォワーダーとヘビーフォワーダーの主な違いは、ヘビーフォワーダーには完全な解析パイプラインが含まれており、実際にディスクにイベントを書き込んだりインデックスしたりしなくても、インデクサーが実行するのと同じ機能を実行することです。これにより、ヘビーフォワーダーは、データのマスキング、フィルタリング、イベントデータに基づくルーティングなどの個々のイベントを理解して処理できます。アドオンアプリケーションにはSplunk Enterpriseが完全にインストールされているため、適切なデータ収集のために完全なPythonスタックを必要とするモジュラー入力をホストすることも、Splunk HTTPイベントコレクター（HEC）のエンドポイントとして機能させることもできます。

データが収集されると、インデックス化または処理され、検索可能な方法で保存されます。

顧客がデータを探索する主な方法は検索です。検索はレポートとして保存し、ダッシュボードパネルに追加できます。検索は、データから情報を抽出したものです。

一般に、Splunkアドオンアプリケーションはコレクション層（Splunkエンタープライズレベル）にデプロイされ、ダッシュボードアプリケーションは検索レイヤー（Splunk Cloudレベル）にデプロイされます。シンプルなオンプレミス設定では、これら 3 つの階層すべてを 1 台の Splunk ホストに配置できます (シングルサーバーデプロイメントと呼ばれます)。

Splunkのアドオンアプリケーションを使用するには、コレクション階層の方がはるかに優れています。アドオンアプリケーションをインストールするには 2 つの方法があります。お客様の環境のコレクション階層にインストールすることも、 Splunk Cloud インスタンスの入力データマネージャーにインストールすることもできます。

アドオンアプリケーションでのSplunkの導入アーキテクチャを理解するには、次の図を参照してください。

前述の図に示されている入力データマネージャー (IDM) は、Splunk Cloud が管理するデータ収集ノード (DCN) の実装で、スクリプト入力とモジュラー入力のみをサポートします。それ以上のデータ収集が必要な場合は、Splunkヘビーフォワーダーを使用して環境内にDCNをデプロイして管理できます。

Splunk では、さまざまなソースからデータを収集、インデックス化、検索できます。データを収集する1つの方法は、Splunkが他のシステムやアプリケーションに保存されているデータにアクセスできるようにするAPIを使用することです。これらの API には、クエリメカニズムとして REST、Web サービス、JMS、または JDBC を含めることができます。Splunkやサードパーティの開発者は、Splunkのモジュラー型入力フレームワークを通じてAPIインタラクションを可能にするさまざまなアプリケーションを提供しています。これらのアプリケーションを正しく機能させるには、通常、Splunk Enterprise ソフトウェアを完全にインストールする必要があります。

API によるデータ収集を容易にするために、ヘビーフォワーダーを DCN としてデプロイするのが一般的です。ヘビーフォワーダーは、完全な解析パイプラインを備えており、個々のイベントを理解して処理できるため、ユニバーサルフォワーダーよりも強力なエージェントです。これにより、API を使用してデータを収集し、Splunk インスタンスに転送してインデックス化する前に処理できます。

Splunk Cloud デプロイのアーキテクチャの概要について詳しくは、「 Splunk 検証済みアーキテクチャ」を参照してください。

この記事の概要

この情報は役に立ちましたか?