splunk.es.data_input_network 模块 – 管理 Splunk TCP 或 UDP 类型的数据输入

注意

此模块是 splunk.es 集合 (版本 4.0.0) 的一部分。

如果您使用的是 ansible 包，则可能已安装此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。

要安装它，请使用： ansible-galaxy collection install splunk.es。

要在剧本中使用它，请指定： splunk.es.data_input_network。

splunk.es 1.0.0 中的新增功能

已弃用

将在以下版本中移除：

2024-09-01 之后的主要版本

原因：

发布了具有更多功能的更新模块。

替代方案：

splunk_data_inputs_network

概要

  • 此模块允许在 Splunk 中添加或删除 TCP 和 UDP 数据输入。

别名：splunk_data_input_network

参数

参数

注释

connection_host

字符串

设置发送数据的远程服务器的主机。

ip 将主机设置为发送数据的远程服务器的 IP 地址。

dns 将主机设置为发送数据的远程服务器的 IP 地址的反向 DNS 条目。

none 将主机保留为 inputs.conf 中指定的主机，这通常是 Splunk 系统主机名。

选项

  • "ip" ← (默认)

  • "dns"

  • "none"

datatype

字符串

转发器可以传输三种类型的数据：原始数据、未解析数据或已解析数据。cooked 数据指的是已解析和未解析的格式。

选项

  • "cooked"

  • "raw" ← (默认)

host

字符串

索引器获取数据的服务器。

index

字符串

存储生成的事件的默认索引。

name

字符串 / 必填

接收原始数据的输入端口。

protocol

字符串 / 必填

选择 tcp 或 udp

选项

  • "tcp"

  • "udp"

queue

字符串

指定输入处理器应在其读取事件后将其放置的位置。默认为 parsingQueue。

将 queue 设置为 parsingQueue 可将 props.conf 和其他解析规则应用于您的数据。有关 props.conf 和时间戳和换行符规则的更多信息，请参阅 props.conf 和在线文档“使用 inputs.conf 监控文件和目录”

将 queue 设置为 indexQueue 可将您的数据直接发送到索引。

选项

  • "parsingQueue" ← (默认)

  • "indexQueue"

rawTcpDoneTimeout

整数

以秒为单位指定添加 Done 密钥的超时值。

如果在接收指定秒数的数据后，通过 name 指定的端口上的连接保持空闲状态，则它会添加一个 Done 密钥。这意味着最后一个事件已完全接收。

默认值： 10

restrictToHost

字符串

允许将此输入限制为仅接受来自此处指定服务器的数据。

source

字符串

设置此输入事件的源键/字段。默认为输入文件路径。

设置源键的初始值。该键在解析/索引期间使用，特别是用于在索引期间设置源字段。它也是搜索时使用的源字段。为方便起见，所选字符串前面会加上“source::”。

注意：通常不建议覆盖源键。通常，输入层提供更准确的字符串以帮助进行问题分析和调查，准确记录从中检索数据的文件。在覆盖此值之前，请考虑使用源类型、标记和搜索通配符。

sourcetype

字符串

设置此输入事件的源类型。

“sourcetype=” 会自动添加到 <string> 前面。

默认为 audittrail（如果 signedaudit=True）或 fschange（如果 signedaudit=false）。

ssl

布尔值

启用或禁用数据流的 ssl

选项

  • false

  • true

state

字符串

启用、禁用、创建或销毁

选项

  • "present" ← (默认)

  • "absent"

  • "enabled"

  • "disable"

示例

- name: Example adding data input network with splunk.es.data_input_network
  splunk.es.data_input_network:
    name: "8099"
    protocol: "tcp"
    state: "present"

状态

  • 此模块将在 2024-09-01 之后的主要版本中删除。[已弃用]

  • 更多信息请参见 已弃用。

作者