Use Observability Pipelines’ Splunk Heavy and Universal Forwards (TCP) source to receive logs sent to your Splunk forwarders. Select and set up this source when you set up a pipeline.

Prerequisites

To use Observability Pipelines’s Splunk TCP source, you have a Splunk Enterprise or Cloud Instance alongside either a Splunk Universal Forwarder or a Splunk Heavy Forwarder routing data to your Splunk instance. You also have the following information available:

• The bind address that your Observability Pipelines Worker will listen on to receive logs from your applications. For example, 0.0.0.0:8088. Later on, you configure your applications to send logs to this address.
• The appropriate TLS certificates and the password you used to create your private key if your forwarders are globally configured to enable SSL.

See Deploy a Universal Forwarder or Deploy a Heavy Forwarder for more information on Splunk forwarders.

Set up the source in the pipeline UI

Select and set up this source when you set up a pipeline. The information below is for the source settings in the pipeline UI.

オプションで、トグルをクリックして TLS を有効にすることができます。TLS を有効にする場合は、以下の証明書と鍵ファイルが必要です。

• Server Certificate Path: DER または PEM (X.509) 形式の認証局 (CA) ルートファイルにより署名された証明書ファイルへのパス。
• CA Certificate Path: DER または PEM (X.509) 形式の認証局 (CA) ルートファイルである証明書ファイルへのパス。
• Private Key Path: DER または PEM (PKCS#8) 形式のサーバー証明書パスに属する .key 秘密鍵ファイルへのパス。

Splunk フォワーダーを Observability Pipelines Worker に接続する

ログを Worker に転送するには、以下の構成を Splunk Heavy/Universal フォワーダーの etc/system/local/outputs.conf に追加し、<OPW_HOST> を Observability Pipelines Worker に関連付けられたホスト (またはロードバランサー) の IP または URL に置き換えます。

[tcpout]
compressed=false
sendCookedData=false
defaultGroup=opw

[tcpout:opw]
server=<OPW_HOST>:8099

<OPW_HOST> は、Observability Pipelines Worker に関連付けられたホスト (またはロードバランサー) の IP または URL です。CloudFormation を使用したインストールの場合、LoadBalancerDNS CloudFormation 出力には使用するための正しい URL が含まれています。Kubernetes を使用したインストールの場合、Observability Pipelines Worker サービスの内部 DNS レコードを使用できます。例: opw-observability-pipelines-worker.default.svc.cluster.local

この時点で、ログは Worker に送られ、パイプラインで処理され、構成した宛先に配信されます。