Splunk Universal Forwarder Rola Ansible

Podstawowa instalacja i konfiguracja splunk forwardera

Zmienne Roli

W tej chwili, wszystkie pliki konfiguracyjne wejścia/wyjścia dla splunk są konfigurowane poprzez zmienne, jak widać w poniższych domyślnych ustawieniach.

# ZWIĄZANE Z SYSTEMEM
# pod jakim użytkownikiem powinien działać splunk uf
splunkforwarder_system_user: splunk
splunkforwarder_path: /opt/splunkforwarder
splunkforwarder_start_on_boot: tak
splunkforwarder_get_via_curl: nie

# LOKALIZACJA PAKIETU
# binarka splunk uf do zainstalowania. 
splunkforwarder_url: 'https://www.splunk.com/bin/splunk/DownloadActivityServlet?architecture=x86_64&platform=linux&version=6.5.1&product=universalforwarder&filename=splunkforwarder-6.5.1-f74036626f0c-Linux-x86_64.tgz&wget=true'
splunkforwarder_filename: 'splunkforwarder-6.5.1-f74036626f0c-Linux-x86_64.tgz'
splunkforwarder_md5: 'md5:e8468b95b4ca03f73f33714a4430c82e'

# ZWIĄZANE Z AUTORYZACJĄ
# specyficzne informacje logowania
splunkforwarder_user: admin
splunkforwarder_pass: changeme

# SERWER WDRAŻANIA
# Ustaw jeśli używasz serwera wdrażania Splunk
# splunkforwarder_deployment_server:

# DOMYŚLNY INDEKS
splunkforwarder_default_index: default

# ZAWARTOŚĆ PLIKU KONFIGURACYJNEGO
# Prawdopodobnie lepszy sposób na to, ale aby zacząć, oto pliki konfiguracyjne,
# które chcemy wdrożyć w systemie
splunkforwarder_outputs: |
  defaultGroup = primary

  [tcpout:primary]
  server = localhost:9997

# dodaj wszystkie wejścia, które chcesz tutaj, podstawowy domyślny
splunkforwarder_inputs: |
  [default]
  index         = {{ splunkforwarder_default_index }}

  [monitor://$SPLUNK_HOME/var/log/splunk]
  index = _internal

Przykład Playbooka

- hosts: serwery
  roles:
    - overipio.splunk-universalforwarder

Dodawanie dodatkowych monitorów do istniejącej instalacji

- hosts: serwery
  vars:
    - splunkforwarder_inputs_monitor:
        - path: "/opt/applications/helloworld/*.log"
          sourcetype: application_log
          index: differentindex
        - path: "/opt/foo/bar.log"

  roles: 
    - overipio.splunk-universalforwarder