Splunk। आसान अनुप्रयोग समस्या निवारण

स्प्लूकबेस के साथ पहले से ही बनाए गए ऐड-इन्स का उपयोग आप अपने लिखने के बजाय कितनी बार करते हैं? क्या उनके पास हमेशा वही है जो आप देखना चाहते हैं? क्या सब कुछ उन में ठीक काम करता है, भले ही निर्देशों के अनुसार बिल्कुल स्थापित हो? आज हम स्प्लंक अनुप्रयोगों के साथ काम करने की विशेषताओं के बारे में बात करेंगे।

अर्थात्, हम सीखेंगे कि कैसे समझें कि अनुप्रयोगों में अनुरोध कैसे उत्पन्न होते हैं, ताकि भविष्य में, उनके आधार पर, हम अपने कार्य के लिए कुछ विशिष्ट कर सकें। और कई कारणों पर भी विचार करें जिनकी वजह से अक्सर आवेदन टेढ़े काम करने लगते हैं या बिल्कुल भी काम नहीं करते हैं।

हम इस बारे में क्यों बात कर रहे हैं? क्योंकि कई अनुप्रयोगों में सामान्य उपयोगकर्ताओं की तुलना में अधिक जटिल क्वेरी संरचना होती है, जब वे अपने स्वयं के अनुप्रयोगों को लिखते हैं। लेकिन एक ही समय में, अक्सर यह समझने की आवश्यकता होती है कि किसी विशेष तालिका को अपने लिए समायोजित करने के लिए कैसे बनाया जाता है।

उन्नत एप्लिकेशन डेवलपर्स द्वारा किन चिप्स का उपयोग किया जाता है:

• Eventtype
• मैक्रो
• अलर्ट
• लुकअप

अब हम यह दिखाने की कोशिश करेंगे कि यह क्या है और कई प्रश्नों के उदाहरणों का उपयोग करके इसका पता कैसे लगाया जाए।

उदाहरण संख्या १

विंडोज इन्फ्रास्ट्रक्चर के लिए स्प्लंक ऐप से एक क्वेरी लें, जिससे हमें सक्रिय निर्देशिका में नए उपयोगकर्ताओं की संख्या मिलनी चाहिए। हमें निम्न तालिका प्राप्त होती है:



मान लीजिए कि हम इस तालिका में किसी चीज़ से खुश नहीं हैं: हमें एक और फ़ील्ड जोड़ने की ज़रूरत है, विषय उपयोगकर्ता द्वारा अतिरिक्त फ़िल्टरिंग, या कुछ और। जटिल लगता है? अब खोज क्वेरी खोलें और सब कुछ संपादित करें!

लेकिन ... कुछ गलत हो गया।



मानक और स्पष्ट क्वेरी के बजाय, एकल उद्धरणों में एक अजीब डिजाइन दिखाई दिया। आइए परिचित हो जाएं, यह एक मैक्रो है।

स्प्लंक में एक मैक्रो एक पुन: प्रयोज्य खोज क्वेरी है। मैक्रोज़ तब बनाए जाते हैं, जब एक अनुप्रयोग के ढांचे के भीतर, किसी को अक्सर एक ही प्रकार का परिवर्तन करना पड़ता है, और प्रत्येक अनुरोध में उन्हें नहीं दोहराने के लिए, वे उन्हें अलग से बचाते हैं। अनुरोध में मैक्रो को ऐसी संरचना `macros_name` द्वारा पहचाना जा सकता है। इसके अलावा, मैक्रोज़ को कुछ प्रकार के इनपुट चर की आवश्यकता हो सकती है, अनुरोध में ऐसे मैक्रोज़ की संरचना `macros_name (मान)` है।

अगला, मैक्रो टेक्स्ट खोलें, यह यहां पाया जा सकता है सेटिंग्स - उन्नत खोज - खोज मैक्रोज़ ।



सामान्य तौर पर, ऐसा अनुरोध अधिक सामान्य लगता है और आप पहले से ही इसके साथ काम कर सकते हैं। लेकिन एक कैवेट है, अगर आप लॉग में इवेंटटाइप के रूप में इस तरह के क्षेत्र को खोजने की कोशिश करते हैं, तो आपको कुछ भी नहीं मिलेगा। यह एक और स्प्लंक टूल है।

Eventtype एक फ़िल्टरिंग उपकरण है। इसका उपयोग उन मामलों में किया जाता है जहां विभिन्न आयोजनों को विभिन्न मानदंडों के अनुसार चुना जाता है। इसलिए, इवेंटटाइप की मदद से हम एक बार कॉन्फ़िगर कर सकते हैं कि कौन सी घटनाएं इस प्रकार की होंगी, उन्हें पर्याप्त नाम दें और भविष्य में किसी भी प्रश्न में उनका उपयोग करें।

आप Eventtype को Settings - Event type में पा सकते हैं ।

"Eventtype = wineventlog_security" के तहत निम्नलिखित खोज है:



इस प्रकार, हम आवेदन में अनुरोधों में से एक को "अनडॉन्ड" करते हैं। अब हम जानते हैं कि परिणाम प्राप्त करने के लिए कौन से डेटा और किन परिवर्तनों को अंजाम दिया गया है, जिसका अर्थ है कि यदि आवश्यक हो तो हम इसे ठीक कर सकते हैं या अपना समान बना सकते हैं। बस सावधान रहें, अनुप्रयोगों में निर्मित मैक्रोज़ और ईवेंट प्रकारों को संपादित करने का प्रयास न करें। उन्हें अन्य डैशबोर्ड द्वारा संदर्भित किया जा सकता है और फिर परिणाम भी बदल जाएंगे। ऐसा होने से रोकने के लिए, सभी टुकड़ों को एक खोज में इकट्ठा करना या नए मैक्रोज़ और ईवेंट प्रकार बनाना बेहतर है।

मैं तुरंत ध्यान देता हूं कि यह सबसे जटिल और जटिल कहानी से दूर है। Eventtype किसी अन्य इवेंटटाइप को संदर्भित कर सकता है, और यह अन्य को तीसरे और इतने पर। कुछ मैक्रोज़ निर्देशिकाओं को संदर्भित कर सकते हैं, जो अन्य मैक्रोज़ आदि का उपयोग करके बनाई गई हैं।

उदाहरण संख्या 2

एक अन्य उदाहरण पर विचार करें: डोमेन की सूची बनाना।



आइए इस अनुरोध को देखें कि यह सूची हमारे लिए है।



और फिर से हमें एक मैक्रो दिखाई देता है जो लगभग पूरे अनुरोध को बदल देता है।

हम मैक्रोज़ ( सेटिंग - उन्नत खोज - खोज मैक्रोज़ ) के साथ मेनू पर जाते हैं और देखते हैं कि हमारा मैक्रो डोमेन के साथ निर्देशिका से आधार लेता है।



भीख माँगते हैं: यह किस तरह का संदर्भ है, उसने हमारा डेटा कैसे और कहाँ से प्राप्त किया, अगर हमने इंटरनेट से एप्लिकेशन डाउनलोड किया और उसे कोई संदर्भ जानकारी नहीं दी गई।
हम याद करते हैं कि निर्देशिका न केवल डाउनलोड की गई फ़ाइलों से बनाई जा सकती हैं, बल्कि खोजों या अलर्ट का उपयोग करके भी बनाई जा सकती हैं। हम उचित अनुभाग ( सेटिंग्स - खोजें, रिपोर्ट, और अलर्ट ) पर जाते हैं और वास्तव में एक ऐसी वस्तु पाते हैं जो नाम से कुछ ऐसी ही होती है जिसकी आपको आवश्यकता होती है। (DomainSelector_Lookup)

यह एक चेतावनी है जो एक अनुसूची के अनुसार चलती है, एक निश्चित आवृत्ति पर ट्रिगर होती है और निर्देशिका को अपडेट करती है।



लेकिन देखते हैं कि वह डोमेन नाम कहां से प्राप्त करता है, और उसके लिए, एक खोज क्वेरी खोलें। और उसमें ... फिर से एक मैक्रो।



जो फिर से इवेंटटाइप का लिंक है।



और जिसमें Eventtype का एक और लिंक है



और केवल अब हम इस जटिल श्रृंखला के अंत में आ गए हैं:



दो उदाहरणों में, हमने देखा कि विंडोज इन्फ्रास्ट्रक्चर के लिए स्प्लंक ऐप जैसे एप्लिकेशन के टैबलेट और ग्राफ़ के पीछे क्या छिपा है। इस तरह की वास्तुकला डेटा मॉडल के उच्च स्तर के विस्तार को दर्शाती है, जिसका अर्थ है आवेदन की गुणवत्ता, लेकिन यह उन उपयोगकर्ताओं के लिए बहुत दर्द लाता है जो समझना चाहते हैं कि वहां क्या हो रहा है।

समस्या निवारण

जैसा कि लेख की शुरुआत में कहा गया है, इस बारे में कुछ शब्द कहें कि आवेदन हमारी अपेक्षा के अनुरूप क्यों नहीं हो सकता है।

इस उदाहरण पर विचार करें: हमने विंडोज इन्फ्रास्ट्रक्चर के लिए स्प्लंक ऐप इंस्टॉल किया, इसके लिए आवश्यक ऐड-ऑन स्थापित किए और स्पैंक पर डेटा लोडिंग सेट किया। लेकिन जब हम आवेदन में जाते हैं, तो हम ऐसी तस्वीर देखते हैं:



ऐसा क्यों हो सकता है? ईमानदार होने के लिए, कई कारण हो सकते हैं, लेकिन हम अब दो सबसे अधिक संभावना और आम पर विचार करेंगे।

1. डिफ़ॉल्ट सूचकांक

जैसा कि आप देख सकते हैं, सभी खोज प्रश्नों में जो लेख के पहले भाग में थे, सूचकांक = ... का क्लासिक भाग गायब है। जब क्वेरी इंगित नहीं करती है कि खोज किस इंडेक्स में की गई है, तो खोज केवल उन इंडेक्स के लिए जाती है जो डिफ़ॉल्ट इंडेक्स सूची में हैं। डिफ़ॉल्ट रूप से, केवल मुख्य सूचकांक ही शामिल है, इसलिए हमें इस समूह में आवश्यक सूचकांकों को जोड़ना होगा।

इसे निम्नानुसार किया जा सकता है:
सेटिंग्स - उपयोगकर्ता और प्रमाणीकरण - अभिगम नियंत्रण - भूमिकाएँ - <जो भूमिकाएँ इस एप्लिकेशन के साथ काम करेंगी -> डिफ़ॉल्ट रूप से खोजे गए सूचकांक

फिर, इच्छित अनुक्रमित को चयनित अनुक्रमित में जोड़ें।

2. अनुसूचित अलर्ट

कई फ़िल्टर निर्देशिकाओं और अलर्ट पर निर्देशिकाओं पर आधारित होते हैं। शायद इन अलर्ट ने अभी तक काम नहीं किया है और आवश्यक जानकारी के साथ निर्देशिकाओं को नहीं भरा है। आपको यह देखने की आवश्यकता है कि वे कब काम करते हैं और यदि आवश्यक हो, तो निर्देशिका में अपडेट का समय और अंतराल बदलें। ( सेटिंग्स - खोजें, रिपोर्ट और अलर्ट )

---

इस लेख में, हमने एक विंडोज इन्फ्रास्ट्रक्चर एप्लिकेशन का एक उदाहरण देखा, लेकिन एक ही चीज अनुभवी स्प्लेंकर्स द्वारा बनाए गए कई अनुप्रयोगों में होती है।

यदि आप उन्हें बेहतर ढंग से समझना चाहते हैं, ताकि यह आपके लिए एक ब्लैक बॉक्स न हो, तो इस डेटा के आधार पर उच्च-गुणवत्ता के एनालिटिक्स बनाने के लिए जानकारी को बदलना, तो आपको मैक्रोज़ और इवेंटटिप्स का अधिक विस्तार से अध्ययन करने की आवश्यकता है।

स्प्लंक फंडामेंटल्स 2 में स्प्लंक कोर्स।