Come posso utilizzare un driver di log Splunk con un'attività Amazon ECS in Fargate?

Breve descrizione

Per inviare i log del container al programma di raccolta di log di Enterprise Splunk o a Splunk Cloud Puoi utilizzare il driver di log Splunk, detto anche "logging driver,", da Docker in Fargate. .

Risoluzione

Configura l'ambiente Splunk Cloud per ricevere i log di Fargate

1. Utilizza l'opzione Free Splunk per creare un account Splunk Cloud. Se hai già un account Splunk Cloud, vai al passaggio 2. Per ulteriori informazioni, consulta Free Splunk (Splunk gratuito) sul sito web Splunk.
2. Accedi all'account Splunk Cloud.
   Nota: dopo aver creato un account, utilizza l'URL, il nome utente e la password di Splunk Cloud per accedere.
3. Dal menu di navigazione, scegli Settings (Impostazioni).
4. Nella sezione DATA (DATI), scegli Data inputs (Input di dati).
5. Nella sezione Local inputs (Input locali), nella colonna Actions (Azioni), scegli Add new (Aggiungi nuovo).
   Nota: crei un token HTTP Event Collector (HEC) in modo da poter inviare dati ed eventi delle applicazioni a una distribuzione Splunk tramite i protocolli HTTP e Secure HTTP (HTTPS).
6. In Name (Nome), inserisci un nome per il token, quindi scegli Next (Avanti).
7. Scorri il resto delle pagine della procedura guidata di configurazione, quindi scegli Submit (Invia) per creare il token HEC.
   Nota: puoi lasciare invariati i valori predefiniti.
8. Prova il nuovo token utilizzando curl o Docker.
   Nota: per impostazione predefinita, Splunk è in ascolto sulla porta 8088 e accetta eventi sul percorso**/services/collector**.
   curl:

   curl -k  https://prd-p-9l79p.splunkcloud.com:8088/services/collector -H "Authorization: Splunk splunk-token" -d '{"event": "Put this message in Splunk"}'

   Nota: sostituisci splunk-token con il token HEC che hai creato in precedenza.
   Docker:

   docker run --publish 80:80 --log-driver=splunk --log-opt splunk-token=splunk token --log-opt splunk-url=https://prd-p-u7z1u.splunkcloud.com:8088 --log-opt splunk-insecureskipverify=true --log-opt splunk-sourcetype=docker-test --log-opt splunk-index=main  nginx

Nota: sostituisci splunk-token con il token HEC che hai creato in precedenza.

Configura AWS Secrets Manager per utilizzare il token HEC

Nota: se ricevi messaggi di errore durante l'esecuzione dei comandi dell'interfaccia della linea di comando AWS (AWS CLI), consulta la sezione Troubleshoot AWS CLI errors. Inoltre, assicurati di utilizzare la versione più recente di AWS CLI.

Per archiviare il token HEC in Secrets Manager in modo che Fargate possa utilizzarlo in modo sicuro, esegui questo comando:

aws secretsmanager create-secret --name splunk-token --secret-string token-value

Nota: sostituisci splunk-token con il tuo token HEC. Sostituisci token-value con il valore del tuo token.

Configura un ruolo di esecuzione dell'attività con l'autorizzazione per accedere ai segreti

1. Apri la console AWS Identity and Access Management (AWS IAM).
2. Nel pannello di navigazione, scegli Ruoli.
3. Nell'elenco dei ruoli, cerca e scegli ecsTaskExecutionRole.
4. Scegli Aggiungi policy inline.
5. Scegli la scheda JSON dell'editor, quindi inserisci la seguente policy:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "secretsmanager:GetSecretValue",
           "kms:Decrypt"
         ],
         "Resource": [
           "arn:aws:secretsmanager:<region>:<aws_account_id>:secret:<secret_name>",
           "arn:aws:kms:<region>:<aws_account_id>:key/<key_id>"
         ]
       }
     ]
   }

   Nota: se utilizzi una chiave del Servizio AWS di gestione delle chiavi (AWS KMS) personalizzata per crittografare i segreti, fornisci l'autorizzazione kms:Decrypt e il nome della risorsa Amazon (ARN) per la chiave KMS.
6. Scegli Verifica policy.
7. In Nome, inserisci un nome per la policy.
8. Scegli Crea policy.

Configura la definizione dell'attività Amazon ECS in Fargate

1. Apri la console Amazon ECS.
2. Dal pannello di navigazione, nella sezione Amazon ECS, scegli Definizioni di attività.
3. Scegli Crea nuova definizione di attività.
4. Scegli Fargate, quindi scegli Fase successiva.
5. Nella sezione Configura definizioni di attività e container, in Nome definizione di attività, inserisci un nome per la definizione dell'attività.
6. Per Ruolo attività, scegli il ruolo che hai configurato in precedenza.
7. Nella sezione Dimensioni attività, in Memoria attività (GB) e CPU attività (vCPU), inserisci i valori appropriati per le attività.
8. Nella sezione Definizioni di container, scegli Aggiungi container.
9. Scegli le opzioni appropriate per le relative esigenze del caso d'uso.
10. Nella sezione REGISTRAZIONE del menu a discesa, seleziona Esporta i log in Splunk.
11. Per le opzioni di chiave e valore in Opzioni di log, inserisci quanto segue:
    Chiave: splunk-url
    Valore: il tuo endpoint splunk (ad esempio: https://prd-p-9l79p.splunkcloud.com:8088/)
    Chiave: splunk-insecureskipverify
    Valore: True
    Chiave: splunk-token
    valueFrom: l'ARN del segreto che hai creato in precedenza
12. Scegli Aggiungi.
    Nota: per ulteriori informazioni sul codice e sulle configurazioni per Splunk, consulta splunk.go sul sito web GitHub e Splunk options (Opzioni Splunk) sul sito web Docker.
13. Per creare la definizione dell'attività, scegli Crea.
14. Crea un servizio Amazon ECS o esegui un'attività che utilizza la definizione dell'attività creata in precedenza.

Controlla i log in Splunk Cloud

Prima di controllare i log in Splunk Cloud, assicurati che l'attività sia in esecuzione.

Nota: poiché non hai specificato splunk-indexnella configurazione dei log, per impostazione predefinita i log sono inviati a splunk-index nell'indice main.

1. Connettiti all'account Splunk Cloud.
2. Nel menu di navigazione, scegli Search (Cerca).
3. Inserisci index="main" nella casella di ricerca.

Nota: per creare una definizione dell'attività in Amazon ECS per un tipo di avvio Amazon ElasticCompute Cloud (Amazon EC2), puoi seguire i passaggi precedenti. Dopodiché puoi utilizzare il driver di log Splunk da qualsiasi attività ECS per inviare i log al programma di raccolta di log Splunk.

Informazioni correlate

Ruolo IAM di esecuzione di attività Amazon ECS