使用Splunk HTTP事件收集器（HEC），如何以每秒1000个事件的最大为1000个事件批量批处理事件

Question

我需要将批处理事件发送到Splunk HTTP事件收集器，例如每秒1000个事件。

以下是发送到Splunk HEC的5个日志事件的示例 -

% curl "https://splunk-example.com:8088/services/collector/raw?channel=093DCD-BC98-8UET-8AFE-8413C3825C4C&sourcetype=test_type&index=test_index"
-H "Authorization: Splunk ******-****-****-****-*********" -d '<log line 1>   <log line 2>  <log line 3>  <log line 4>

  Output:  {"text":"Success","code":0}%

那么，我该如何配置将应用程序日志作为1000事件/秒发送到Splunk Hec？

Answer 1

在您的 props.conf sourceType 的文件中，您应该使用“ shose_linemerge = false” 。那将把每个日志线都分为单独的事件。

现在，如果您的活动是多行怎么办？

然后，该文档应有所帮助：

Answer 2

发送率配置IE应该在客户端进行。
我认为您不会使用“纯”卷发，而是它将是某种脚本/应用程序。因此，您的节流需要在那里完成。