Так у мене є набір серверів, які я хочу додати до corp-сервера Splunk, щоб легше дістатися до журналів для всіх моїх серверів Mac. Проблема, яка у мене є, є інструкції щодо налаштування для Mac, і все, що я знайшов, було Unix або Linux. У мене є документ, який мені видали, але я знаю, чи повинен я виконати всі кроки, про які йдеться. Можливо, хтось зробив це вже? У будь-якому випадку, для початку, перше, що потрібно сказати, - це створити обліковий запис і згрупувати на машині та налаштувати акаунт, щоб він не міг увійти в систему. Як це зробити на mac. Я знаю, що в більшості Linux є useradd, який можна запустити, але я не знаю, чи це навіть незамінно на mac. Ось зупинки в документі, які я намагаюся перекласти.
Додавання експедитора Splunk в середовище диспетчера нерозгортання
Передумови:
Попрацюйте зі своїм адміністратором Splunk, щоб визначити індекс, тип джерела, час зберігання даних та максимальний розмір журналу на день, щоб індексувати випадок перед тим, як надсилати будь-які дані на випадок.
Завантажте Splunk Universal Forwarder для своєї платформи за допомогою пакету (не тарбол - це важливо, щоб не працювати як root) https://www.splunk.com/page/sign_up/download
Демон сплунк за замовчуванням прослуховує порт 8089 (і 8000 для повного агента сплунку). Немає причин відкривати отвори в брандмауері для цих портів - адже якщо це безпечна система, рекомендується не ставити отвори в системі для цих портів.
Створіть у своєму вікні користувача, що випав
useradd splunk -d / opt / splunkforwarder groupadd splunk
** Налаштуйте передаваного користувача, щоб він не міг увійти в систему! - відповідно до найкращих практик вашого конкретного * nix distro
Встановіть універсальний форвардер в систему за допомогою пакетного методу (не використовуйте тарбол) в / opt / splunkforwarder. (Але НЕ ЗАЧАЙТЕ ЙОГО)
Виправлення дозволу на каталог:
chown -R splunk: splunk / opt / splunkforwarder
Початок прокрутки на експедитора як користувач, що працює з викликом:
sudo su - splunk / opt / splunkforwarder / bin / splunk start --accept-ліцензія
Змініть пароль адміністратора на випадок на щось захищене, але відмінне від інших захищених паролів:
/ opt / splunkforwarder / bin / splunk редагувати адміністратора користувача -password "newpass" -auth admin: changeme
Налаштуйте сплюнк для запуску при запуску системи - Splunk:
sudo su - / opt / splunkforwarder / bin / splunk enable boot-start -user splunk