Help us understand the problem. What is going on with this article?

Splunk Alert を Slack に飛ばしてみる

概要

運用とかでアラートを slack に飛ばすケースが多いので、Splunkでも同じようにアラートをSlackに飛ばしてみました。

おおまかな手順

[Slack 側の設定]
・Incoming Webhook App を作成し、webhook URLを取得する

[Splunk側の設定]
・ Splunk Appsより、 slack alert のアプリをインストールする
・ アプリ設定画面で、取得したwebhook URLを登録する
・ アラート設定で Slackを選択する

Slack 側の設定

  1. Incoming Webhook Appを作成する
    https://api.slack.com/incoming-webhooks

    1. Create a Slack App を押す
    2. アプリケーション名と、対象のSlackワークスペースを選択する
    3. 作成するアプリの種類として Incoming Webhooksを選択する (図1)
    4. Incoming WebhookをEnable(On)する (図2)
    5. 「Add new webhook to workspace」を押す(図2)
    6. 投稿先のチャネルを選択し、許可ボタンを押す(図3)
    7. webhook URLが作成されました。(図4)

図1: アプリの種類としてImcoming Webhookを選択する
image.png

図2:Incoming Webhookを Enable(On) し、 new webhookを作成する
image.png

図3:投稿先チャネルを選択し許可する
image.png
注意: Slack workspaceのオーナーでないと、webhook作成時に承認プロセスが入ります。

図4:Webhook URLが作成される
image.png

Splunk 側の設定

  1. Splunk Appsより、 slack alert のアプリをインストールする

  今回は、Slack Notification Alertを利用しました。
  https://splunkbase.splunk.com/app/2878/

  (*) AppのInstall 方法については、ここでは割愛します。

  1. Appの設定

  このアプリはWeb画面がありませんので、「設定」 - 「アラートアクション」にて設定します。
image.png

image.png

ここからは、通常のアラート設定

(*) ここでは、通常のアラート設定方法については割愛します。

  1. アラート設定画面の アラートアクションに、 Slackを指定する image.png

ちなみに、Attachment には、こちらが選択できます。
image.png

無事に Slackにアラートが飛んできました。
image.png

最後に

設定自体は非常に簡単で、特に大きな問題はなく設定できましたが、Slack のアプリ作成(incoming webhook)には権限が必要なため、会社の Slack などを利用する場合は承認が必要になります。今回は検証のため、自分でSlack ワークスペースを作成して試しました。

Splunkでは、Slack連携として、逆に Slackの内容を Splunkに取り込んで分析することもできるようです。
https://splunkbase.splunk.com/app/3542/

Why do not you register as a user and use Qiita more conveniently?
  1. We will deliver articles that match you
    By following users and tags, you can catch up information on technical fields that you are interested in as a whole
  2. you can read useful information later efficiently
    By "stocking" the articles you like, you can search right away
Comments
Sign up for free and join this conversation.
If you already have a Qiita account
Why do not you register as a user and use Qiita more conveniently?
You need to log in to use this function. Qiita can be used more conveniently after logging in.
You seem to be reading articles frequently this month. Qiita can be used more conveniently after logging in.
  1. We will deliver articles that match you
    By following users and tags, you can catch up information on technical fields that you are interested in as a whole
  2. you can read useful information later efficiently
    By "stocking" the articles you like, you can search right away