Splunk Alert を Slack に飛ばしてみる

概要

運用とかでアラートを slack に飛ばすケースが多いので、Splunkでも同じようにアラートをSlackに飛ばしてみました。

おおまかな手順

[Slack 側の設定]
・Incoming Webhook App を作成し、webhook URLを取得する

[Splunk側の設定]
・ Splunk Appsより、 slack alert のアプリをインストールする
・ アプリ設定画面で、取得したwebhook URLを登録する
・ アラート設定で Slackを選択する

Slack 側の設定

1. Incoming Webhook Appを作成する
   https://api.slack.com/incoming-webhooks
   

   1. Create a Slack App を押す
   2. アプリケーション名と、対象のSlackワークスペースを選択する
   3. 作成するアプリの種類として Incoming Webhooksを選択する (図１）
   4. Incoming WebhookをEnable(On)する　（図２）
   5. 「Add new webhook to workspace」を押す（図２）
   6. 投稿先のチャネルを選択し、許可ボタンを押す（図３）
   7. webhook URLが作成されました。（図４）

図１： アプリの種類としてImcoming Webhookを選択する

図２：Incoming Webhookを Enable(On) し、 new webhookを作成する

図３：投稿先チャネルを選択し許可する

注意： Slack workspaceのオーナーでないと、webhook作成時に承認プロセスが入ります。

図４：Webhook URLが作成される

Splunk 側の設定

1. Splunk Appsより、 slack alert のアプリをインストールする

　　今回は、Slack Notification Alertを利用しました。
　　https://splunkbase.splunk.com/app/2878/

　　(*) AppのInstall 方法については、ここでは割愛します。

1. Appの設定

　　このアプリはWeb画面がありませんので、「設定」 - 「アラートアクション」にて設定します。

ここからは、通常のアラート設定

(*) ここでは、通常のアラート設定方法については割愛します。

1. アラート設定画面の アラートアクションに、 Slackを指定する
   

ちなみに、Attachment には、こちらが選択できます。

無事に Slackにアラートが飛んできました。

最後に

設定自体は非常に簡単で、特に大きな問題はなく設定できましたが、Slack のアプリ作成(incoming webhook)には権限が必要なため、会社の Slack などを利用する場合は承認が必要になります。今回は検証のため、自分でSlack ワークスペースを作成して試しました。

Splunkでは、Slack連携として、逆に Slackの内容を Splunkに取り込んで分析することもできるようです。
https://splunkbase.splunk.com/app/3542/