Syslog ログソース構成

LogSource は、LM ログに取り込まれる Syslog ログと、それらをリソースにマッピングする方法を設定できるロジックモジュールです。Syslog LogSource を Collector 自体に適用して Syslog 処理を広範に制御することも、個々のリソースに適用してより詳細な制御を行うこともできます。 

すべてのLM Collectorには、Syslog取り込み用のデフォルトのLogSourceがあらかじめ設定されています。このLogSourceは、シンプルなセットアップ、検索可能なログビューとアラート、容易なフィルタリング、そして追加ソースのライセンスやエージェントが不要なため、Syslog取り込みに最適な、すぐに使えるソリューションです。 

コレクターSyslog処理

LogSource をコレクタに適用すると、コレクタは次の方法で Syslog を処理できます。

• コレクターが受信した Syslog イベントを取り込むことが要件の場合は、コレクターの Agent.conf プロパティ「lmlogs.syslog.enabled」を有効にできます。このプロパティは、オンにすることによっても有効にすることができます。 Syslog と SNMP のログ収集を有効にする トラップ オプション コレクターを追加 ページ。このプロパティを有効にすると、コレクターはフィルタ、リソースマッピングなどのカスタマイズなしに、すべてのSyslogイベントを取り込みます。
• 一部の Syslog イベントのフィルタリングやリソース マッピングの別のメソッドの追加など、カスタマイズを追加する必要がある場合は、LogSource を作成し、Syslog 受信コレクタに適用できます。 コレクターに申し込む LogSource のオプション。
• 特定の LogSource 定義を使用してデバイスからの Syslog イベントを処理することが要件の場合、Syslog イベントをコレクタに転送するデバイスに通常の LogSource を適用できます。 

syslogを処理する際には、コレクターに適用されるLogSourceよりも、デバイスに適用される通常のLogSourceの方が望ましい。

syslog を処理するには、コレクターの agent.conf プロパティ「lmlogs.syslog.enabled」よりも、コレクターに適用された LogSource を使用する方が優先されます。

次のシナリオは、syslog を受信するコレクターによる syslog 処理の優先設定を理解するために参照できます。

*次の場合、デバイスはコレクターによって監視されていると言われます。

• コレクターは次のように割り当てられます。 優先コレクター on リソースの管理 ページ
  - または -
• コレクタは、次を使用してログ コレクタとして割り当てられます。 LM ログ コレクターの設定 オプションオン リソースの管理 ページ

Syslogログを処理するためにLogSourceにCollectorを適用する方法の詳細については、以下を参照してください。 LogSource をコレクターに適用する.

フィルタ

Syslog LogSource に取り込むイベントを制御するために、フィルタを追加できます。Syslog LogSource は、以下のフィルタリング方法をサポートしています。

複雑なフィルタリング

複雑なフィルタリングを使用すると、個々のフィルタ行を設定する代わりに、単一のクエリを使用してログソースフィルタを定義できます。

複雑なフィルタリングは、同じフィルタ内でAND演算子とOR演算子を組み合わせたり、括弧を使用してネストされたフィルタリングロジックを作成したりする必要がある場合に役立ちます。

複合フィルタは、LogicMonitorの複合フィルタ式構文を使用して、次の形式で1つ以上のフィルタリング述語を定義します。

<Attribute> <Operator> "<Value>"

次のことができます。

• ANDとORを使用して述語を組み合わせます
• 括弧（()）を使用して条件をグループ化します。
• # を使用してコメントを追加します
• 1つのフィルターに最大100個の述語を含めることができます。
• 選択したログソースでサポートされている属性、演算子、および値のみを使用してください。

フィルタリング

Syslogログソースを設定する際に、フィルターを追加してイベントを含めるか除外するかを選択できます。含めるフィルターを使用すると、特定の条件を満たすイベントのみを処理でき、除外フィルターを使用すると、使用目的に関係のないイベントを除外できます。

また、AND演算子やOR演算子を使用して複数のフィルタ条件を組み合わせることで、正確なマッチングロジックでイベント選択を絞り込んだり、より柔軟なフィルタリングのために条件を広げたりすることができます。

フィルターを使用した AND および OR の使用方法の詳細については、以下を参照してください。 LogSource構成におけるフィルタリング.

次の表に、使用可能なパラメータの詳細を示します。

ログフィールド

ログフィールド（タグ）を設定することで、ログに追加のメタデータを送信できます。利用可能なパラメータは以下の表のとおりです。

リソースマッピング

OR演算子またはAND演算子のいずれかを使用してリソースを識別およびマッピングできます。リソースマッピングでのAND演算子とOR演算子の使用方法の詳細については、以下を参照してください。 LogSource構成におけるリソースマッピング.

監視対象リソースに合わせてLMログプロパティを設定します。使用可能なパラメータは以下の表のとおりです。

以下は、LMプロパティ（トークン）方式を用いたリソースマッピングの例です。この例では、LMポータル内の監視対象デバイスの1つにマッピングするプロパティを指定します。LMプロパティのキーは次のとおりです。 token.resourceMap そしてその値は syslog_test_collector.

LogSourceがデバイスに適用されると、リソースマッピングはLM_propertyで次のように処理されます。 token.resourceMap、ソースとして LM Property解析メソッドは Token、そしてその値は、 ##、 といった ##token.resourceMap##.

コレクターはフィードからホストエントリを受信し、 ##token.resourceMap## LM_propertyに対して受け取った値 token.resourceMap その特定のホスト（例えば、 syslog_test_collector).

ログソースが適用されるリソースが複数ある場合、 LM_property 一意である必要があります。一意でない場合、Ingest API はリソースにマッピングしません。

以下の画像は、 syslog_test_collector 例。  

次の画像は、LogSourceのリソースマッピングからのものです。 syslog_test_collector 例。

この LogSource の Collector 側のリソース マッピングは次のとおりです。

'{"metadata":{"logSource_id":"2249","logsource_name":"syslog_test_token"},"Severity":"3: Error","Host":"localhost","epochWhenAddedInQueue":1633501246808,"Facility":"1: user-level messages","message":"<11>Just a message with metadata test_md1 !!\u0000","_lm.resourceId":{"token.resourceMap":"syslog_test_collector"},"timestamp":1633501246808,"_lm.collectorId":"48"}', raw:'<11>Example message with metadata test_md1 !!'

Syslog ログソースの設定要件

Syslogログソースを設定するには、以下のものが必要です。

• syslogログを取り込むマシンにLogicMonitor Collectorがインストールされていること。
  詳細については、を参照してください。 LogicMonitorコレクターについて.
• OR演算子を使用するには、コレクターバージョン37.300以降が必要です。
• 複雑なフィルタリングを使用するには、コレクターのバージョン40.700以降が必要です。
• 除外フィルターは、Collectorバージョン39.200以降でサポートされています。

Syslog ログソースの設定

1. LogicMonitorで、次の場所に移動します モジュール > 私のモジュールツールボックス。
2. 選択 追加 > ログソース.
3. [追加] ウィンドウで、 ログソース。 「新しいログソースの追加」ウィンドウが表示されます。
4. 基本情報 の インフォ このセクションで、必要な設定を構成します。
   詳細については、を参照してください。 LogSource の基本情報の設定. 
5. 製品概要 の インフォ セクションで、「LM Logs: SysLog」を選択します。 タイプ ドロップダウンメニュー。
6. トグル ログのタイムスタンプの代わりに受信時刻を使用する syslog メッセージに埋め込まれたタイムスタンプではなく、LogicMonitor が syslog メッセージを受信した時点に基づいてタイムスタンプを使用するように切り替えます。
7. 追加 アクセスグループ ログを表示、管理、操作できるユーザーを有効にします。
   アクセスグループの設定に関する詳細については、以下を参照してください。 モジュールのアクセスグループ. 
8.  に適用されます 要件に基づいて、セクションに任意のAppliesToスクリプトメソッドを追加します。 
9. これは、モジュールが適用されるリソースを決定します。
   詳細については、を参照してください。 AppliesTo関数のスクリプトの概要.
   例えば、以下に示すように、LogSource を特定のグループ、タグ、またはコレクター内のデバイスにのみ適用することができます。

   isInDeviceGroup("Network Devices")  *Applies the logsource only to devices in the "Network Devices" group.   system.env == "prod" *Applies to devices tagged with env:prod. collectorId == 27 *Applies only to devices using a specific Collector.

10. (オプションフィルターセクションで、次のいずれかの操作を行います。
    1. 複雑なフィルタを設定するには、次の手順を実行します。
       1. 複雑なフィルターを使用するスイッチを切り替えます。
       2. 複合フィルタフィールドに、フィルタクエリを入力します。
          具体的な例を挙げますと、以下の通りです。

          Severity Equal "Error" AND Message Contain "timeout"

          (Application Equal "MySQL" AND Message Contain "err") OR Severity Equal "Error"

          お願い複雑なフィルターを設定している場合、フィルターは使用できません。
    2. フィルターを追加するには、次の手順を実行します。
       1. 条件に一致することを選択します（OR) またはすべての条件に一致 (AND) 演算子。
       2. 選択 フィルターを追加.
       3. からオプションを選択してください 属性 ドロップダウンメニューを使用して、フィルターする項目を指定します。
       4. ノーザンダイバー社の フィルタの種類 ドロップダウンメニューから、いずれかを選択してください。 含める or 除外する.
       5. ノーザンダイバー社の 比較演算子LogicMonitorが属性値をどのように評価するかを選択してください。
          例えば、「Equal」は完全一致の値に一致し、「RegexMatch」はパターンを評価します。
       6. 値 フィールドに、選択した属性と比較演算子に基づいて値を入力します。
       7. (オプション） の中に コメント フィールドに説明を入力します。
       8. 選択  Save.
          フィルターは、定義された設定に基づいて追加および適用されます。

11. 構成 ログフィールド （タグ）ログに付加的なメタデータを送信します。
    詳細については、を参照してください。 LogSource でのログフィールドの設定 .
    
12. 構成 リソースマッピング ログを監視対象デバイスに関連付けます。
    詳細については、を参照してください。 LogSource のリソース マッピングの設定.
    
13. 選択 Save.

LogSourceが作成され、LogicMonitorポータルで使用できるようになります。

LogSource をコレクターに適用する

コレクタバージョンEA-35.200では、「コレクタに適用」オプションを使用して、LogSourceをコレクタに直接適用できます。また、「適用先」オプションを使用してLogSourceをデバイスに適用することもできます。ただし、EA-35.200より前のバージョンのコレクタを使用している場合は、「適用先」オプションを使用してのみLogSourceをデバイスに適用できます。

LogSource をコレクタに適用すると、次のシナリオで役立ちます。

• Syslog をコレクタに転送しているデバイスは、コレクタによって監視されません。
• Syslog をコレクタに転送しているデバイスは、LogicMonitor ではまったく監視されません。

LogSource をコレクターに適用するには:

1. LogSource の作成中に、 に適用されます タブ、トグル コレクターに申し込む スイッチ。
2.  コレクターのマッピング選択 コレクターの追加.