Impossible d'ingérer des événements dans le nuage Splunk via HEC à partir de la lance d'incendie AWS Kinesis.

Applicabilité

Description

"If you have a proxy (ELB or other) between Kinesis Firehose and the HEC node, you must enable sticky sessions and not provide any session expiration to support HEC ACKs"

Enquête

Comment l'identifier :

1) Vous pouvez obtenir une erreur comme celle ci-dessous dans AWS :

{
"deliveryStreamARN": "arn:aws:firehose:ap-southeast-2:406119630047:deliverystream/wagering-ivr-UATYarraBaseline-wivr-logs-kinesis-firehose",
"destination": "https://http-inputs-ack-xxxx.splunkcloud.com/services/collector/raw",
"deliveryStreamVersionId": 1,
"message": "If you have a proxy (ELB or other) between Kinesis Firehose and the HEC node, you must enable sticky sessions and not provide any session 
expiration to support HEC ACKs.",
"errorCode": "Splunk.ProxyWithoutStickySessions",
"processor": "arn:aws:lambda:ap-southeast-2:406119630047:function:paism-log-processor"
}

2) Si vous essayez d'envoyer un événement test au jeton HEC à l'aide de la commande ci-dessous, vous recevez l'erreur

{"text":"Data channel is missing","code":10}

curl -k "https://http-inputs-<stack-id>.splunkcloud.com/services/collector" -H "Authorization: Splunk BD274822-96AA-4DA6-90EC-18940FB2414C" -d 
'{"event": "Hello, world!", "sourcetype": "manual"}' 

Résolution

Comment le réparer :

Pour le corriger, désactivez les accusés de réception de l'indexeur en accédant à Paramètres » Entrées de données » Collecteur d'événements HTTP, puis cliquez sur "Modifier" sur le jeton avec le problème et décochez "Activer l'accusé de réception de l'indexeur" et cliquez sur "Enregistrer"

Si l'erreur {"text":"Canal de données manquant","code":10} s'affiche et ne pas envoyer les événements depuis AWS Kinesis Firehouse, mais plutôt en utilisant la commande curl et vous voulez garder les accusés de réception de l'indexeur activés, puis ajoutez simplement un canal à la commande, par exemple :

curl https://http-inputs-<stack-id>.splunkcloud.com/services/collector?channel=FE0ECFAD-13D5-401B-847D-77833BD77131 -H "Authorization: Splunk 
BD274822-96AA-4DA6-90EC-18940FB2414C" -d '{"event": "Hello, world!", "sourcetype": "manual"}' -v

Liens connexes