Splunk неправильно переписывает ввод XML

У меня есть несколько приложений, которые я хочу зарегистрировать в Splunk. Я буду отправлять данные в формате XML через прослушиватель UDP. Отправляемые данные выглядят так:

<log4j:event logger="ASP.global_asax" level="INFO" timestamp="1303830487907" thread="15">
  <log4j:message>New session started</log4j:message>
  <log4j:properties>
    <log4j:data name="log4japp" value="4ef113dd-9-129483040292873753(4644)" />
    <log4j:data name="log4jmachinename" value="W7-SUN-JSTANTON" />
  </log4j:properties>
</log4j:event>

Однако, когда он обрабатывается Splunk, он выглядит так:

Apr 26 16:18:09 127.0.0.1 <log4j:message>New session started</log4j:message><log4j:properties><log4j:data name="log4japp" value="4ef113dd-9-129483040292873753(4644)"/><log4j:data name="log4jmachinename" value="W7-SUN-JSTANTON"/></log4j:properties></log4j:event>

В основном это выглядит так, как будто Splunk перезаписал открывающий узел и в результате потерял данные уровня журнала с датой и временем, когда он их получил. Отправляющие его приложения используют nLog с целью типа log4j (с макетом Log4JXmlEventLayout). Я настроил исходный тип как log4jxml (настраиваемое имя), но я думаю, что мне нужно сказать ему, чтобы он не делал что-то с полем даты / времени в файле props.conf (но не слишком уверен, что это что-то такое).

Я также использую версию Splunk для Windows, поэтому пути к файлам немного отличаются от онлайн-руководств.

Любая помощь будет приветствоваться.


splunk log4j
person Jonathan Stanton    schedule 26.04.2011    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Оказывается, я делал 2 ошибки (может быть, и больше, но я еще не нашел их). В файле inputs.conf мне нужно добавить следующее к моему определению ввода:

no_priority_stripping = true
no_appending_timestamp = true

Второе, что я делал неправильно, это помещал эти файлы в

C:\Program Files\Splunk\etc\system\local\

когда они ДОЛЖНЫ быть вставлены

C:\Program Files\Splunk\etc\apps\search\local\

Я надеюсь, что это поможет кому-то другому

person Jonathan Stanton    schedule 26.04.2011