[Splunk] Splunk Enterprise erstellen (Docker-Datei erstellen)

Zweck / Hintergrund

Es ist uns gelungen, mithilfe manueller und öffentlich verfügbarer Docker-Images eine Umgebung für Splunk Enterprise zu erstellen. Als nächstes möchte ich selbst eine Docker-Datei erstellen und erstellen.

Ziel

Erstellen einer Docker-Datei
Erstellen und Starten von Containern und Bildern
Zugriff auf Splunk Web

Verfassung

/splunk  
    /Dockerfile  
    /files  
        /splunk-launch.conf

./Dockerfile

Versuchen Sie, das Installationsziel mit "/ usr / local / splunk" und das anfängliche Kennwort für den Administrator mit "change me" zu erstellen.

FROM ubuntu:18.04

RUN apt-get update -y
RUN apt-get install -y \
    wget
RUN wget -P /usr/local/src -O splunk-8.0.6-152fb4b2bb96-Linux-x86_64.tgz 'https://www.splunk.com/bin/splunk/DownloadActivityServlet?architecture=x86_64&platform=linux&version=8.0.6&product=splunk&filename=splunk-8.0.6-152fb4b2bb96-Linux-x86_64.tgz&wget=true'
RUN tar zxvf splunk-8.0.6-152fb4b2bb96-Linux-x86_64.tgz -C /usr/local/
COPY ./files/splunk-launch.conf /usr/local/splunk/etc
RUN /usr/local/splunk/bin/splunk start --accept-license --answer-yes --seed-passwd changeme

./files/splunk-launch.conf

#   Version 8.0.6

# Modify the following line to suit the location of your Splunk install.
# If unset, Splunk will use the parent of the directory containing the splunk
# CLI executable.
#
# SPLUNK_HOME=/opt/splunk-home
SPLUNK_HOME=/usr/local/splunk

# By default, Splunk stores its indexes under SPLUNK_HOME in the
# var/lib/splunk subdirectory.  This can be overridden
# here:
#
# SPLUNK_DB=/opt/splunk-home/var/lib/splunk
# Splunkd daemon name
SPLUNK_SERVER_NAME=Splunkd

# If SPLUNK_OS_USER is set, then Splunk service will only start
# if the 'splunk [re]start [splunkd]' command is invoked by a user who
# is, or can effectively become via setuid(2), $SPLUNK_OS_USER.
# (This setting can be specified as username or as UID.)
#
# SPLUNK_OS_USER

OPTIMISTIC_ABOUT_FILE_LOCKING=1

Bauen

$ docker build -t splunk .

Anlaufen

$ docker run -itd -p 8000:8000 --name splunk splunk

※(Aufgabe)Splunk hat damit nicht alleine angefangen, also habe ich es absichtlich neu gestartet
$ docker exec splunk sh -c "/usr/local/splunk/bin/splunk restart"

Betritt den Container

Wird verwendet, wenn Sie direkt im Container arbeiten möchten, um den Befehl splunk usw. auszuführen.

$ docker exec -it splunk /bin/bash

Erfassung von Diag-Informationen

$ docker exec splunk sh -c "/usr/local/splunk/bin/splunk diag"

Collecting components: conf_replication_summary, consensus, dispatch, etc, file_validate, index_files, index_listing, kvstore, log, searchpeers, suppression_listing
Skipping components: rest
Selected diag name of: diag-7ffffbe066aa-2020-09-11_07-32-48
Starting splunk diag...
    :
Cleaning up...
Splunk diagnosis file created: /usr/local/splunk/diag-7ffffbe066aa-2020-09-11_07-32-48.tar.gz

Kopieren Sie die Datei in den Ordner auf der Hostseite, der beim Start bereitgestellt wurde (Wenn Sie das Ausgabeziel von diag festlegen können, müssen Sie diesen Befehl nicht ausführen.)

$ docker exec splunk sh -c "cp /usr/local/splunk/diag-f03a58497527-2020-09-11_07-42-14.tar.gz /tmp"

* Bestätigung des Kopierergebnisses
$ ll ./Volumes/tmp/
total 15M
drwxrwxr-x 2 xxxxx xxxxx 4.0K Sep 11 16:42 ./
drwxrwxr-x 3 xxxxx xxxxx 4.0K Sep 11 16:35 ../
-rw------- 1 root  root   15M Sep 11 16:42 diag-f03a58497527-2020-09-11_07-42-14.tar.gz

Oder kopieren Sie die Datei mit dem folgenden Befehl aus dem Container auf den Host

$ docker cp splunk://usr/local/splunk/diag-f03a58497527-2020-09-11_07-42-14.tar.gz ./
$ ll
total 15M
drwxrwxr-x  4 xxxxx xxxxx 4.0K Sep 11 16:47 ./
drwxrwxr-x 11 xxxxx xxxxx 4.0K Sep 11 11:25 ../
-rw-------  1 xxxxx xxxxx  15M Sep 11 16:42 diag-f03a58497527-2020-09-11_07-42-14.tar.gz
-rw-rw-r--  1 xxxxx xxxxx  551 Sep 11 16:26 Dockerfile
drwxrwxr-x  2 xxxxx xxxxx 4.0K Sep 11 16:09 files/
drwxrwxr-x  3 xxxxx xxxxx 4.0K Sep 11 16:35 Volumes/

abschließend

Splunk wurde nicht gestartet, als ich den Container gerade gestartet habe, und ich musste ihn manuell neu starten, aber ich konnte Splunk innerhalb des Containers starten, ohne den Host zu verschmutzen.