AWS Kinesis Firehose에서 HEC를 통해 Splunk 클라우드의 이벤트를 수집할 수 없습니다.

적용 가능성

설명

"If you have a proxy (ELB or other) between Kinesis Firehose and the HEC node, you must enable sticky sessions and not provide any session expiration to support HEC ACKs"

조사

식별 방법:

1) AWS의 다음 오류와 같은 오류가 발생할 수 있습니다.

{
"deliveryStreamARN": "arn:aws:firehose:ap-southeast-2:406119630047:deliverystream/wagering-ivr-UATYarraBaseline-wivr-logs-kinesis-firehose",
"destination": "https://http-inputs-ack-xxxx.splunkcloud.com/services/collector/raw",
"deliveryStreamVersionId": 1,
"message": "If you have a proxy (ELB or other) between Kinesis Firehose and the HEC node, you must enable sticky sessions and not provide any session 
expiration to support HEC ACKs.",
"errorCode": "Splunk.ProxyWithoutStickySessions",
"processor": "arn:aws:lambda:ap-southeast-2:406119630047:function:paism-log-processor"
}

2) 아래 명령을 사용하여 HEC 토큰에 테스트 이벤트를 보내려고 하면 오류가 표시됩니다

{"text":"Data channel is missing","code":10}

curl -k "https://http-inputs-<stack-id>.splunkcloud.com/services/collector" -H "Authorization: Splunk BD274822-96AA-4DA6-90EC-18940FB2414C" -d 
'{"event": "Hello, world!", "sourcetype": "manual"}' 

해결

해결 방법:

이 문제를 해결하려면 Settings(설정) Data Inputs(데이터 입력) HTTP Event Collector(HTTP 이벤트 수집기)로 이동하여 인덱서 확인을 비활성화한 다음 문제가 있는 토큰에서 "edit(수정)"를 클릭하고 "Enable indexer acknowledgement(인덱서 확인 활성화)"를 선택 취소하고 "Save(저장)를 클릭합니다.

{"text":"데이터 채널이 없습니다.","code":10} 오류를 가져오는 경우 AWS Kinesis Firehose에서 이벤트를 보내지 않고 curl 명령을 사용하여 인덱서 확인을 활성화한 다음 다음과 같이 명령에 채널을 추가하면 됩니다.

curl https://http-inputs-<stack-id>.splunkcloud.com/services/collector?channel=FE0ECFAD-13D5-401B-847D-77833BD77131 -H "Authorization: Splunk 
BD274822-96AA-4DA6-90EC-18940FB2414C" -d '{"event": "Hello, world!", "sourcetype": "manual"}' -v

관련 링크