AWS Kinesis FirehoseからHECを介してSplunk Cloudのイベントを取り込めません。

適用性

説明

"If you have a proxy (ELB or other) between Kinesis Firehose and the HEC node, you must enable sticky sessions and not provide any session expiration to support HEC ACKs"

調査

識別方法：

1) AWSで次のようなエラーが発生する場合があります。

{
"deliveryStreamARN": "arn:aws:firehose:ap-southeast-2:406119630047:deliverystream/wagering-ivr-UATYarraBaseline-wivr-logs-kinesis-firehose",
"destination": "https://http-inputs-ack-xxxx.splunkcloud.com/services/collector/raw",
"deliveryStreamVersionId": 1,
"message": "If you have a proxy (ELB or other) between Kinesis Firehose and the HEC node, you must enable sticky sessions and not provide any session 
expiration to support HEC ACKs.",
"errorCode": "Splunk.ProxyWithoutStickySessions",
"processor": "arn:aws:lambda:ap-southeast-2:406119630047:function:paism-log-processor"
}

2)次のコマンドを使用してHECトークンにテストイベントを送信しようとすると、エラーが発生します

{"text":"Data channel is missing","code":10}

curl -k "https://http-inputs-<stack-id>.splunkcloud.com/services/collector" -H "Authorization: Splunk BD274822-96AA-4DA6-90EC-18940FB2414C" -d 
'{"event": "Hello, world!", "sourcetype": "manual"}' 

解決方法

修正方法：

これを修正するには、Settings » Data Inputs » HTTP Event Collectorにアクセスしてインデクサの確認を無効にしてから、問題のあるトークンの「edit」をクリックし、「Enable indexer acknowledgement」のチェックを外して「Save」をクリックします。

{"text":"Data channel is missing","code":10}エラーが表示される場合 また、AWS Kinesis Firehoseからイベントを送信するのではなく、curlコマンドを使用して、インデクサの確認応答を有効のままにしておきたい場合は、次のようにコマンドにチャネルを追加します。

curl https://http-inputs-<stack-id>.splunkcloud.com/services/collector?channel=FE0ECFAD-13D5-401B-847D-77833BD77131 -H "Authorization: Splunk 
BD274822-96AA-4DA6-90EC-18940FB2414C" -d '{"event": "Hello, world!", "sourcetype": "manual"}' -v

関連リンク