Introducción
Este documento describe cómo resolver problemas de un "Error al crear colección: El recurso ya existe" para el complemento de Umbrella o la aplicación de seguridad en la nube.
Antecedentes
Algunos clientes pueden experimentar un error después de configurar Cisco Umbrella Add-On para Splunk o Cisco Cloud Security App para Splunk. El resultado final es que no se ingieren datos de registro en Splunk. Los registros de depuración en el complemento o en la aplicación muestran este error:
HTTPError(response) splunklib.binding.HTTPError: HTTP 500 Internal Server Error -- Failed to create collection: resource already exists
Causa
Este error se produce si ha configurado el complemento o la aplicación, lo ha eliminado anteriormente y ha intentado agregarlo de nuevo.
Cuando se desinstala la aplicación, splunkd normalmente activa una función de recarga que sincroniza la última configuración con los datos de recopilación de la base de datos y elimina la recopilación si no se encuentra la configuración correspondiente: recopilación huérfana. Sin embargo, la implementación de recarga dentro de KVService no puede hacerlo, dejando esta colección huérfana en KVService.
Cuando se reinstala la aplicación, no encuentra el archivo de configuración, ya que se eliminó en el paso anterior, pero cuando intenta crearla falla porque el servicio KVS aún tiene la colección presente dentro del contexto de la aplicación.
Resolución
Para resolver el problema, actualice el servidor Splunk a la versión 9.1.2312.104. Si la actualización no es una opción, abra un vale de soporte con soporte para Splunk. Tienen un proceso para limpiar la colección huérfana.
Para obtener más información, consulte este KB de soporte de splunk: https://splunk.my.site.com/customer/s/article/Failed-to-create-collection.
Comentarios