はじめに
このドキュメントでは、Umbrellaアドオンまたはクラウドセキュリティアプリケーションの「Failed to create collection: resource already exists」エラーのトラブルシューティング方法について説明します。
背景説明
Splunk用のCisco UmbrellaアドオンまたはSplunk用のCisco Cloud Security Appを設定した後にエラーが発生する場合があります。最終結果Splunkにログデータが取り込まれることはありません。アドオンまたはアプリケーションのデバッグログに次のエラーが表示されます。
HTTPError(response) splunklib.binding.HTTPError: HTTP 500 Internal Server Error -- Failed to create collection: resource already exists
原因
このエラーは、アドオンまたはアプリをセットアップし、以前に削除して再度追加しようとした場合に発生します。
アプリがアンインストールされると、splunkdは通常、データベース内のコレクションデータと最新の設定を同期するリロード機能をトリガーし、対応する構成が見つからない場合はコレクションを削除します。ただし、KVService内のリロード実装は失敗し、この孤立したコレクションはKVServiceに残されます。
アプリケーションを再インストールすると、前の手順で削除されているためコンフィギュレーションファイルは見つかりませんが、作成しようとすると、KVServiceにアプリケーションコンテキスト内にコレクションが存在するため失敗します。
解決方法
この問題を解決するには、Splunkサーバをバージョン9.1.2312.104にアップグレードします。アップグレードがオプションではない場合は、Splunkサポートでサポートチケットを開きます。孤立したコレクションをクリーンアップするプロセスがあります。
詳細については、SplunkサポートKB(https://splunk.my.site.com/customer/s/article/Failed-to-create-collection)を参照してください。