تتم ملاحظة التسجيل المكرر من Kubernetes من خلال إدخال اللجنة العليا للانتخابات في Splunk

قابلية التطبيق

الوصف

لا يتم فهرسة بيانات اللجنة العليا للانتخابات كما هو متوقع، كما أنها تقوم بإنشاء تكرارات عبر خوادم متعددة لفهرس محدد له مصدر محدد من Kubernetes

إستجلاء

 1. تحقق أولا من حالة الرمز المميز للجنة العليا للانتخابات باستخدام الأمر التالي في واجهة المستخدم الرسومية (GUI) الخاصة ب Splunk SH.

|rest /services/data/inputs/http/http
| table name, token , disabled

2.قد تظهر التكرارات إذا كان المصدر يقوم بوضع علامات غير صحيحة لأنواع مصادر متعددة. لذا تحقق مما إذا كان تكوين المصدر أو أنواع المصادر غير صحيح.

index= | stats count by source ,sourcetype

 3.تأكد ما إذا كانت الأحداث المكررة واردة أكثر من مرة.

index= | stats count by _time, source, host | where count > 1 

4. فحص إعدادات إدخالات اللجنة العليا للانتخابات في Splunk من خلال الانتقال إلى الإعدادات > مدخلات البيانات > مجمع أحداث HTTP في واجهة المستخدم الرسومية (GUI) في Splunk.  تأكد من عدم تحديد أي مدخلات خاصة باللجنة العليا للانتخابات مرتين لنفس المصدر أو التطبيق.

5. راجع سجلات Splunk الداخلية للتحقق من وجود أي أخطاء أو تحذيرات متعلقة بتناول HEC والتي قد تشير إلى وجود أخطاء في التكوينات أو مشاكل.

index=_internal spurce*splunkd.log* component-HttpEventCollector*

قرار

• لمصدر Kubernetes، الأمر "عدد دولة ب _خام ...الحقل الذي يكون فيه أسلوب العد > 1" لاكتشاف التكرارات غير موثوق به لأن هذا يرجع إلى الأحداث التي لا تتضمن أي حقول فريدة مثل معرف الحدث وما إلى ذلك. لذلك يبدو أن جميع الأحداث يتم تكرارها عند إيداعها في واجهة المستخدم الرسومية (GUI) الخاصة بSplunk. ما لم يتم تضمين حقل فريد نسبيا مثل kubernetes.docker_id أو kubernetes.pod_id في البيانات الأولية والتحقق من التكرارات من نهاية المصدر. 

• حدثت التكرارات نظرا لوجود العديد من موازنات الأحمال. تأكد من تكوين موازنة الأحمال بشكل صحيح لتوجيه البيانات إلى الفهارس الصحيحة لأن الإعدادات غير الصحيحة قد تؤدي إلى تعيين نفس البيانات إلى مفهرسات متعددة مما سيؤدي إلى تكرارات.

روابط ذات صلة

كيف يمكنني العثور على أحداث مكررة