Così ho un set di server che voglio aggiungere al server Splunk corp in modo da poter accedere ai log per tutti i miei server Mac più facilmente. Il problema che ho sono le istruzioni di configurazione per Mac, tutto quello che ho trovato era unix o Linux. Ho un documento che mi è stato dato ma so che se devo fare tutti i passi che menziona. Forse qualcuno lo ha già fatto? Ad ogni modo per iniziare, la prima cosa che dice di fare è creare un account spunk e un gruppo su una macchina e configurare l'account in modo che non possa essere registrato. Come faccio a farlo su un mac. So che la maggior parte di Linux ha un useradd che può essere eseguito, ma non so se questo è anche nessacary su un Mac. Ecco le fermate nel documento che sto cercando di tradurre.
Aggiunta di uno Splunk Forwarder in ambiente non Deployment Manager
Prerequisiti:
Lavora con l'amministratore splunk per determinare l'indice, il tipo di origine, il tempo di conservazione dei dati e le dimensioni massime del log al giorno per l'indicizzazione in splunk prima di inviare qualsiasi dato a splunk.
Scarica lo Splunk Universal Forwarder per la tua piattaforma usando un pacchetto (non un tarball - questo è importante per non essere eseguito come root) https://www.splunk.com/page/sign_up/download
Il demone splunk di default è in ascolto sulla porta 8089 (e 8000 per l'agente splunk completo). Non vi è alcun motivo per aprire i fori del firewall per queste porte: in effetti, se si tratta di un sistema sicuro, si consiglia di non inserire buchi nel sistema per queste porte.
Crea un utente splunk sulla tua scatola
useradd splunk -d / opt / splunkforwarder groupadd splunk
** Configura l'utente splunk in modo che non possa essere registrato! - Secondo le migliori pratiche della tua particolare distro * nix
Installa lo spedizioniere universale sul sistema usando un metodo di pacchetto (non usare il tarball) in / opt / splunkforwarder. (Ma NON INIZIARE ANCORA)
Risolvi il permesso della directory:
chown -R splunk: splunk / opt / splunkforwarder
Inizia a splunk su forwarder come utente splunk:
sudo su - splunk / opt / splunkforwarder / bin / splunk start --accept-license
Cambia la password dell'amministratore splunk in qualcosa di sicuro ma diverso da altre password sicure:
/ opt / splunkforwarder / bin / splunk edit utente admin -password "newpass" -auth admin: changeme
Configura splunk per avviare all'avvio del sistema - Splunk:
sudo su - / opt / splunkforwarder / bin / splunk abilita boot-start -user splunk