FEHLER: sendemail:1668 - Splunkd-Daemon antwortet nicht

Geltungsbereich

Beschreibung

Die Warnungen werden stündlich mit Warnaktionen als E-Mails geplant, und die Warnungen werden ausgelöst, werden jedoch nicht als E-Mails versendet.

08-30-2024 14:39:11.596 +0800 INFO  SavedSplunker - savedsearch_id="", search_type=<"">, search_streaming=0, user=<"">, app="analog_silicon_analysis", savedsearch_name=<>, priority=default, status=success, digest_mode=1, durable_cursor=0, scheduled_time=1724999940, window_time=0, dispatch_time=1724999941, run_time=9.824, result_count=0, alert_actions="", sid=<>, suppressed=0, thread_id="AlertNotifierWorker-0", workload_pool=""

Untersuchung

Bei der Untersuchung wurden folgende Fehler in splunkd.log festgestellt:

ERROR ScriptRunner [271749 AlertNotifierWorker-1] - stderr from '/opt/splunk/bin/python3.7 /opt/splunk/etc/apps/search/bin/sendemail.py "results_link=<> sid=scheduler__admin_cHVibGljX3Jlc291cmNl__RMD54f5021f61fb80dd3_at_1724997000_14446_2D86E62A-9636-41C8-88D9-DB416CDB1A22" "ssname=[RA] getResourceUsageByProjHostgroups" "graceful=True" "trigger_time=1724997016" results_file="/opt/splunk/var/run/splunk/dispatch/scheduler__admin_cHVibGljX3Jlc291cmNl__RMD54f5021f61fb80dd3_at_1724997000_14446_2D86E62A-9636-41C8-88D9-DB416CDB1A22/results.csv.gz" "is_stream_malert=False"': ERROR:root:(552, b'5.3.4 Message size exceeds fixed maximum message size', 'splunk@abcsplksh23') while sending mail to: abc@gmail.com

- Dies weist darauf hin, dass es eine Beschränkung beim Versenden von Warnmeldungen als E-Mail mit einer höheren Anzahl von Ereignissen gibt. In diesem Fall das Ergebnis als CSV statt E-Mail exportiert, um dieses Problem zu vermeiden. 

- Es wurde jedoch beobachtet, dass die Warnungen mit weniger Ereignissen immer noch nicht als E-Mail ausgelöst wurden.

- In /opt/splunk/var/log/splunk/python.log wird der folgende Fehler ausgegeben:

ERROR sendemail:1668 - Splunkd daemon is not responding: ('Error connecting to /servicesNS/abcsplksh23/arftool/saved/searches/%5BMMSIM%5D%20Max%20Job%20Violation%20Alert: The read operation timed out',)

Auflösung

Diese Fehlermeldung zeigt ein Timeout-Problem an. 

Um das Problem zu beheben, gehen Sie wie folgt vor:

i. Navigieren Sie zu $SPLUNK_HOME/etc/system/local/web.conf

ii) Den Timeoutwert erhöhen 

splunkdConnectionTimeout = <integer> (default=30)

* The amount of time, in seconds, to wait before timing out when communicating with
splunkd.
* Must be at least 30.
* Values smaller than 30 will be ignored, resulting in the use of the
default value
* Default: 30

Nachdem der Timeout-Wert erhöht wurde, werden die E-Mails wie erwartet ausgelöst.

Verwandte Links

Web.conf