splunk - 水槽下沉到 Splunk？

Question

有没有人成功地将数据从水槽下沉到 splunk？

我试过 Thrift 和 Avro 水槽水槽，但它们有问题。对于 splunk 来说并不是很好的格式，而且 Flume 在它们被沉没之后会一遍又一遍地尝试事件。

我正在调查 splunk 的 HEC 的水槽 HTTP 接收器，但我看不到如何在标头中设置 HEC 令牌。是否有人在标头中为 Flume http sink 配置了 HEC 令牌？

考虑只做一个转发到 Splunk 的文件接收器，但如果可能的话希望避免这个临时文件。

建议？

标签： splunkflumeflume-ng

Answer 1

最后只是制作了一个滚动文件接收器，并将这些文件复制到 Splunk 转发器监控的目录。不是理想的或高性能的，但对于我们的用例来说已经足够好了。