splunk/universalforwarder

Docker中的Splunk通用转发器

Splunk Enterprise是一个运维智能平台，可收集、分析技术基础设施、安全系统和业务应用生成的大数据，并基于这些数据提供洞察，以提升运维性能和业务成果。

通用转发器是一种轻量级组件，可用作边车或负载均衡池，用于收集数据并将其发送到外部Splunk环境。有关Splunk的功能特性及如何在组织中应用，请参阅Splunk产品。

目录

1. 前提条件
2. 快速入门
3. 文档
4. 帮助与支持

前提条件

当前，此镜像仅支持Docker运行时引擎，且需要满足以下系统前提条件：

1. 基于Linux的操作系统（Debian、CentOS等）
2. 芯片组：
   • splunk/splunk镜像支持x86-64芯片组
   • splunk/universalforwarder镜像支持x86-64和s390x芯片组
3. 内核版本>4.0
4. Docker引擎：
   • Docker企业版引擎17.06.2或更高版本
   • Docker社区版引擎17.06.2或更高版本
5. overlay2 Docker守护进程存储驱动

有关更多详细信息，请参阅官方的容器化Splunk环境支持的架构和平台以及硬件和容量建议。

快速入门

将通用转发器镜像下载到本地Docker引擎：

$ docker pull splunk/universalforwarder:latest

使用以下命令启动单个Splunk通用转发器实例：

$ docker run -d -p 9997:9997 -e "SPLUNK_START_ARGS=--accept-license" -e "SPLUNK_GENERAL_TERMS=--accept-sgt-current-at-splunk-com" -e "SPLUNK_PASSWORD=<password>" --name uf splunk/universalforwarder:latest

该命令的详细说明：

1. 使用splunk/universalforwarder:latest镜像以分离模式启动Docker容器。
2. 暴露主机9997端口到容器9997端口的映射。
3. 指定自定义SPLUNK_PASSWORD - 请确保将<password>替换为符合Splunk Enterprise密码要求的任意字符串。
4. 通过SPLUNK_START_ARGS=--accept-license和SPLUNK_GENERAL_TERMS=--accept-sgt-current-at-splunk-com接受许可协议。每个splunk/universalforwarder容器都必须显式接受此协议，否则Splunk将无法启动。**

Splunk通用转发器没有GUI，因此无法通过Web界面访问。相反，可以使用docker exec命令直接访问容器。容器进入“健康”状态后，运行以下命令：

$ docker exec -it -u splunk uf /bin/bash -c "/opt/splunkforwarder/bin/splunk status"
splunkd is running (PID: 575).
splunk helpers are running (PIDs: 577).

**：从Splunk Enterprise和Splunk Universal Forwarder的10.x镜像版本开始，许可接受需要额外的SPLUNK_GENERAL_TERMS=--accept-sgt-current-at-splunk-com参数。这表示用户已阅读并接受当前/最新版本的Splunk通用条款（可在此处获取，可能会不时更新）。除非您与Splunk共同签署了明确取代本协议的协商版本通用条款，否则访问或使用Splunk软件即表示您同意访问和使用时发布的Splunk通用条款。请在访问或使用本软件前阅读并确保同意Splunk通用条款，之后才应包含--accept-license和--accept-sgt-current-at-splunk-com标志以表明您接受Splunk通用条款并启动本软件。以下所有示例均已更新以反映此变更。

文档

有关设置的更多信息，请参阅Splunk转发器手册中的配置通用转发器官方文档。

有关完整使用说明（包括示例、高级部署、场景），请访问https://splunk.github.io/docker-splunk/%E9%A1%B5%E9%9D%A2%E3%80%82

帮助与支持

要了解有关在容器中运行Splunk的支持信息，请参阅https://splunk.github.io/docker-splunk/SUPPORT.html%E3%80%82

此外，如遇到任何问题或有疑问，您可以：

• 参阅https://splunk.github.io/docker-splunk/TROUBLESHOOTING.html
• 在Splunk Answers上提问
• 加入Splunk Slack频道
• 访问EFNet互联网中继聊天的#splunk频道EFNet Internet Relay Chat
• 发送邮件至***

许可

本容器中的软件受Splunk通用条款许可和约束。访问此容器及其软件即表示您同意Splunk通用条款。

如不同意，请勿访问或使用本软件。