こんばんは。torippy1024です。
ちょっと前の話ですが、Splunkのダッシュボードをログインせずに参照できるよう外部公開する機能(Publish機能)が搭載されましたので、試しに使ってみることにします。
企業内の情報を公開するため、セキュリティ対応は必須ですが、IPアドレスによる制限をかけることが可能です。
機能概要
Splunkダッシュボードのpublish機能は、ログインせずにSplunkのダッシュボードを外部公開することができる機能です。
これによるメリットは以下となります。
-
Splunkへのアクセス権限の簡素化
閲覧者はSplunkアカウントにログインせず、URLを開くだけでダッシュボードを閲覧できるため、簡単にダッシュボードを共有できます。 -
Splunkへのサーチ負荷の軽減
publishされたダッシュボードは、参照時にユーザーがサーチを実行することはできず、Splunkがバックグラウドでデータを定期更新する形となります。このため、大勢のユーザーがダッシュボードを参照する場合でも、サーチ負荷を軽減することができます。 -
参照期間の設定
publishされたダッシュボードには、公開期限が設定されています。期限がすぎると自動的にリンクが無効になります。必要な時に必要な期間だけダッシュボードを公開することが可能です。(無期限で公開したい場合は10年後などを期限に設定すればOKです)
手順
ダッシュボードの公開手順はとても簡単です。
ダッシュボードの編集画面を開き、「アクション」から「ダッシュボードを公開」を選択するだけです。
「ダッシュボードを公開」を選択すると、データの更新スケジュールとリンクの有効期限を設定できます。
データの更新スケジュールは、デフォルトだと以下の指定が可能です。
- 1時間に一度
- 1日に一度
- 1週間に一度
- 1か月に一度
これに加えCronによって指定することも可能ですので、柔軟な定義が指定可能です。
リンクの有効期限については、デフォルトだと以下の指定が可能です。
- 24時間後に期限切れ
- 7日後に期限切れ
- 30日後に期限切れ
- 1年後に期限切れ
これに加え、カスタム時間としてカレンダーを指定して期限切れを指定することも可能です。これを使うことで10年後や9999年12月31日までなどの期限も指定可能です。
「ダッシュボードを公開」を選択すると、公開済みダッシュボードのリンクが取得できます。
リンクURLは以下のような形式になるようです。長いので、URLを共有する場合は名前解決を行うサービスなどを利用した方がいいかもしれません。
「https://(splunk-stack-url)/ja-JP/shareddashboard?id=< dashboardId >&app=< appName >&owner= < owner >&oid=xxxxxxxxxxxxxxxx」
「公開済みダッシュボードを表示」を選択すると、リンクURLに飛んで、公開されたダッシュボードを表示できます。
今回はデフォルトのJob Details Dashboardを公開しています。Search ID (SID)が指定されていないので、公開しただけとなっていますが・・・。
また試しに、公開ダッシュボードリンクのURL末尾に「&form.sid=xxxxxxx」を指定してSIDを指定してみましたが、そのトークンを受け継いでサーチを実行するなどはしてくれませんでした。
バックグラウンド側で定期にサーチは実行してくれるが、トークンなどは使えないと考えるのが良さそうです。
注意点
必要な権限
ダッシュボードを公開するためには、edit_published_dashboards権限(Capabilities)が必要となります。デフォルトだとadminおよびsc_adminに付与されているようです。
表示されるデータを更新する場合、schedule_search権限も必要です。
また、公開するダッシュボードの編集権限も必要と思われます。
公開されたダッシュボードのアクセス範囲の設定
公開されたダッシュボードは、デフォルトだと全体公開です。
企業で使用する場合、内部情報をインターネット上に公開するわけにはいかないため、公開範囲を限定する必要があります。
この場合、IP許可リストの「Search head UI access」にて公開範囲を設定することができます。
手順は以下の記事をご覧ください。記事では「Search head API access」への適用手順になっていますが、適用先を「Search head UI access」にすればOKです。
https://qiita.com/torippy1024/items/c74b1a3c848dfe7a30ee
注意しなければならないことは、上記の「Search head UI access」の適用範囲は、公開ダッシュボード機能だけではなく、SplunkへのUIアクセス全体に適用されるということです。
これはつまり、公開されたダッシュボードを参照できる人は、URLを削って、https://(splunk-stack-url)とすることによってSplunkのWebログイン画面も参照できてしまうことになります。その逆も然りです。使用の際は注意する必要があります。
参考リンク
Publish dashboards
https://help.splunk.com/en/splunk-cloud-platform/create-dashboards-and-reports/dashboard-studio/9.3.2411/share-dashboard-content/publish-dashboards
Dashboard Studio：ダッシュボードがもっと使いやすく
https://www.splunk.com/ja_jp/blog/platform/splunk-dashboard-studio-publish-guest-friendly.html
Dashboard Studio: Your Dashboards, Now Guest-Friendly(上記の原文)
https://www.splunk.com/en_US/blog/platform/splunk-dashboard-studio-publish-guest-friendly.html