无法使用 log4j2 将日志发送到 Splunk Enterprise 本地

Question

我在 java 中使用 log4j2 和 splunk 将日志发送到我的 Splunk Enterprise HEC（HTTP 事件收集器） Splunk Enterprise 正在我的本地计算机中运行。

我正在以编程方式完成所有 log4j2 配置。 （我知道这不是正确的方法，但我仍然出于学习目的而这样做）。

我尝试使用相同的 URL 和令牌直接从邮递员将日志发送到 Splunk Enterprise，并且工作正常，但是当我尝试使用 log4j2 从 java 发送日志时，我在 splunk 中没有收到任何内容。

我的代码是 =>

import org.apache.logging.log4j.Level;
import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;
import org.apache.logging.log4j.core.config.Configurator;
import org.apache.logging.log4j.core.config.builder.api.ConfigurationBuilder;
import org.apache.logging.log4j.core.config.builder.api.ConfigurationBuilderFactory;
import org.apache.logging.log4j.core.config.builder.impl.BuiltConfiguration;
import org.apache.logging.log4j.core.layout.PatternLayout;
import com.splunk.logging.*;

public class Main {
private static final Logger log;

static {
  configureLog4J();
  log = LogManager.getLogger(Main.class);
}
public static void configureLog4J() {
      ConfigurationBuilder<BuiltConfiguration> builder =
              ConfigurationBuilderFactory.newConfigurationBuilder();

      // configure a splunk appender
      builder.add(
          builder.newAppender("splunkH", "SplunkHttp")
              .add(
                  builder.newLayout(PatternLayout.class.getSimpleName())
                      .addAttribute(
                          "pattern",
                          "%d{HH:mm:ss.SSS} [%t] %-5level %logger{36} - %msg%n"
                      )
              )
              .addAttribute("sourcetype", "log4j2")
              .addAttribute("index", "main")
              .addAttribute("url", "http://localhost:8088/services/collector") //I tried this url in postman and its working fine there
              .addAttribute("token", "xxx")
              .addAttribute("disableCertificateValidation", "true")
              
              
      );

      // configure the root logger
      builder.add(
          builder.newRootLogger(Level.INFO)
              .add(builder.newAppenderRef("splunkH"))
      );

      // apply the configuration
      Configurator.initialize(builder.build());

    }//end of configureLog4J

public static void main(String ar[]) {
    log.log(Level.INFO, "Hello from log4j2");
    
    log.log(Level.ERROR, "Error from log4j2");

}//end of main method
}//end of class

我的 POM 文件中

<dependencies>
    <dependency>
        <groupId>com.splunk.logging</groupId>
        <artifactId>splunk-library-javalogging</artifactId>
        <version>1.11.4</version>
    </dependency>
    <dependency>
        <groupId>org.apache.logging.log4j</groupId>
        <artifactId>log4j-core</artifactId>
        <version>2.11.2</version>
    </dependency>


    <dependency>
        <groupId>org.apache.logging.log4j</groupId>
        <artifactId>log4j-api</artifactId>
        <version>2.11.2</version>
    </dependency>
    <dependency>
        <groupId>com.splunk</groupId>
        <artifactId>splunk</artifactId>
        <version>1.6.5.0</version>
    </dependency>

</dependencies>

<repositories>
    <repository>
        <id>splunk-artifactory</id>
        <name>Splunk Releases</name>
        <url>https://splunk.jfrog.io/splunk/ext-releases-local</url>
    </repository>
</repositories>

我看不到 splunk 中的任何日志。我错过了什么吗？

Answer 1

添加 .addAttribute("batch_size_count", "1") 或创建一个生成 10 条日志消息的循环，因为这是 batch_size_count 的默认值。这已在 splunk 文档 “配置 Log4j 2”部分。

顺便说一句，我认为 services/collector 端点应与 JSON 消息一起使用（例如 .add(builder.newLayout("JSONLayout"))）。此外，您使用的 log4j2 版本存在 Log4Shell (CVE-2021-44228) 漏洞。它已在 2.15.0 中修复，请切换到该版本和最新版本 2.17.2 之间的任何版本。

最后，我分享一下对问题如何配置log4j的答案的看法2.x 纯粹以编程方式？ log4j2 在以编程方式配置时使用起来很麻烦。我在集群环境中遇到了问题，切换到文件配置解决了我的所有问题。