Table des matières

Introduction

Informations générales

Motif

Résolution

Introduction

Ce document décrit comment dépanner un « Échec de la création de la collection : Une ressource existe déjà" erreur pour Umbrella Add-On ou Cloud Security App.

Informations générales

Certains clients peuvent rencontrer une erreur après avoir configuré Cisco Umbrella Add-On pour Splunk ou Cisco Cloud Security App pour Splunk. Résultat final : aucune donnée de journal n'est ingérée dans le Splunk. Le débogage se connecte au module complémentaire ou à l'application et affiche cette erreur :

HTTPError(response) splunklib.binding.HTTPError: HTTP 500 Internal Server Error -- Failed to create collection: resource already exists

Motif

Cette erreur se produit si vous avez configuré le module complémentaire ou l'application, que vous l'avez précédemment supprimé et que vous avez essayé de l'ajouter à nouveau.

Lorsque l'application est désinstallée, splunkd déclenche normalement une fonction de rechargement synchronisant la dernière configuration avec les données de collecte dans la base de données et supprime la collecte si aucune configuration correspondante n'est trouvée - collection orpheline. Cependant, l'implémentation de rechargement dans KVService ne parvient pas à le faire, laissant cette collection orpheline dans KVService.

Lorsque l'application est réinstallée, elle ne trouve pas le fichier de configuration, comme il a été supprimé à l'étape précédente, mais lorsqu'elle tente de le créer, elle échoue parce que le service KVService a toujours la collection présente dans le contexte de l'application.

Résolution

Pour résoudre le problème, mettez à niveau le serveur Splunk vers la version 9.1.2312.104. Si la mise à niveau n'est pas une option, ouvrez un ticket de support avec le support Splunk. Ils ont un processus pour nettoyer la collection orpheline.

Pour plus d'informations, référez-vous à ce support de splunk KB : https://splunk.my.site.com/customer/s/article/Failed-to-create-collection.