こんにちは。torippy1024です。
本日は、Windows ServerにGUI上でSplunk Universal Forwarderを導入するときの手順をスクリーンショット付きで紹介し、その際どのようなオプションが選択可能か、またよくわからないときにはとりあえずどれを選択しておけばよいのか、の方針を示したいと思います。
ぶっちゃけ、Splunkの公式ドキュメントにも同じ手順は記載されています。
Install on Windows
https://help.splunk.com/en/splunk-enterprise/administer/install-and-upgrade/10.4/install-splunk-enterprise-on-windows/install-on-windows
前提
- 対象環境は以下の通りです。
- インフラ: AWS EC2(基本的にEC2には限定されない手順ですが・・・)
- OS: Windows Server 2025 Datacenter Edition
- Forwarder: Splunk Universal Forwarder 10.4.3
Forwarderのダウンロード
まずはサーバーにForwarderインストーラーメディアを搬入する必要があります。UF Version 10.4.3では、インストーラーの容量はおおよそ150MB程度です。
インターネット接続できないオンプレ環境の場合は、所属する企業のセキュリティポリシーに即した形で搬入してください。
一般的にはファイルサーバー/RDP/SCPなどの方法で搬入することにはなるとは思います。
ただインターネット接続が可能な環境であれば、wgetなどのコマンドで直接ダウンロードするのが最も簡単です。以下です。
wget -O splunkforwarder-10.4.3-4174a2deda5d-windows-x64.msi "https://download.splunk.com/products/universalforwarder/releases/10.4.3/windows/splunkforwarder-10.4.3-4174a2deda5d-windows-x64.msi"
上記のURLは、SplunkのUFダウンロードページから取得可能です。
https://www.splunk.com/ja_jp/download/universal-forwarder.html
ForwarderのGUIインストール標準手順
Universal Forwarderのインストール手順はそれほど複雑ではありません。
ダブルクリックするとインストーラーが起動するので、それに沿って進めればOKです。インストール後に設定変更することも可能です。
以下の項目について、導入前に決定しておくと迷うところがなくなると思います。
| 検討事項 | デフォルト値 | 説明 | カスタマイズオプションの指定要否 |
|---|---|---|---|
| 管理者ユーザー名 | admin | 変更可能だが変更しなくても問題なし | -:不要 |
| 管理者パスワード | changeme(必須変更) | パスワード要件は8文字以上(要件自体のカスタマイズも可能) | -:不要 |
| デプロイメントサーバーのホスト名/ポート番号 | ポート番号のデフォルトは8089 | 後から指定することも可能なので初期導入時は空白値でもよい | -:不要 |
| Indexer(転送先サーバー)のホスト名/ポート番号 | ポート番号のデフォルトは9997 | 後から指定することも可能なので初期導入時は空白値でもよい | -:不要 |
| インストール先ディレクトリ | C:\Program Files\SplunkUniversalForwarder | 変更したい場合はカスタマイズ可能 | 〇：必要 |
| ユーザー指定の証明書 | 導入なし | UFと他サーバーとの通信に使用する証明書を指定する。基本的にはSplunkが自分で証明書を作成するのでそれを利用すればよい | 〇：必要 |
| Forwarderが使用するアカウント種別 | Virtual Account | Local System/Domain Account/Virtual Accountから選択可能。基本はVirtual Accountでよい | 〇：必要 |
| 取り込みログの指定 | 指定なし | インストール時に後から指定したほうがよいため、初回導入時には指定しないことを推奨 | 〇：必要 |
#1 インストーラーの起動
では順に、インストール手順を示します。
インストーラーをダブルクリックすると以下のようなインストーラー画面が表示されます。
「Check this box to accept the License Agreement」にはチェックを入れないとインストールができませんので、同意してチェックを入れます。
もう一つ、UFをSplunk Enterpriseに使うか、Splunk Cloudに使うかというチェックがありますが、こちらはSplunk Cloudを選択すると後の「#4 Receiving Indexerの指定」設定画面が省略されるというオプションです。Heavy Forwarderを指定するときもその画面で転送先を指定できるため、基本的には常にSplunk Enterpriseを選択してインストールすると覚えておいてよいと思います。
Customize Optionsを選択すると詳細な設定をカスタマイズできますが、まずはカスタマイズなしのインストール手順の流れを知るため、Nextを選択します。
#2 管理者ユーザー名/パスワードの指定
次に、管理者ユーザー名とパスワードを入力します。
デフォルトだと管理者ユーザー名は入力されていませんが、デフォルト値はadminですので特に制限がなければadminと入力します。
パスワードは指定せずにランダムパスワードを生成させることも可能です。ただその場合、インストール後に%TEMP%\splunk.logに出力されたパスワードを調べて控える作業が発生しますので注意してください。
事前に用意したパスワードを使う場合は「Generate random password」のチェックを外してパスワードを入力します。
#3 Deployment Server(エージェント管理サーバー)の指定
次に、Deployment Server(現在の名前はエージェント管理サーバー)を利用する場合にホスト名/IPアドレス、ポート番号を指定します。
こちらは後からでも設定できるため、空白でそのまま次に進んでしまって構いません。
#4 Receiving Indexerの指定
Receiving Indexer(厳密にはIndxerだけでなく、中継Forwarderを含む次の転送先サーバーを指しています)のホスト名/IPアドレス、ポート番号を指定します。
こちらも後から設定可能です。大量のForwarderにインストールと設定作業を行うためにCLIで設定をする場合など、あえて初回インストール時には指定しないほうがいい場合もあるかもしれません。
(その場合はそもそもGUIインストールでなく後述するCLIインストールをしたほうがいいかもしれませんが)
#5 インストールの実施
最後にインストールの実行確認画面が表示されますので、ここで、「Install」を選択すればインストールが実施されます。
インストール完了画面が表示された後、「Finish」を選択すればインストールは完了です。
ForwarderのGUIインストール手順のカスタマイズオプション
最初のインストーラー画面にて、Customize Optionsを選択すると、いくつかのカスタマイズを行うことができます。具体的には以下の通りです。
- インストール先ディレクトリ
- ユーザー指定の証明書
- Forwarderが使用するアカウント種別
- 取り込みログの指定
これらをデフォルトの設定から変更したい場合は、「Customize Options」を選択してインストールする必要があります。これらカスタマイズの設定項目について説明します。
インストール先ディレクトリ
Splunk Universal Forwarderのインストール先ディレクトリを変更する場合に使用します。
ユーザー指定の証明書
Forwarderと他サーバーとの通信暗号化のために使用する証明書は、デフォルトではSplunkが作成した証明書が使用されます。これをユーザー自身が用意した証明書に変更したい場合、ここでその証明書を指定できます。
インストール後で設定することも可能です。
ちなみに、これはオンプレ内部で管理系の通信を暗号化する際に使われる証明書となります。
Heavy ForwarderがSplunk Cloudにログを転送するときなどに使われる証明書とは別物ですので注意してください。
Forwarderが使用するアカウント種別
Forwarderが使用するアカウント種類を変更できます。
Splunkの推奨かつデフォルトはVirtual Accountなので、基本はVirtual Accountを使用すればよいのですが、Active DirectoryなどにUFをインストールする場合はLocal Systemを使用しなければなりません。
詳しくは以下のドキュメントを参照してください。
Choose the Windows user Splunk Enterprise should run as
https://help.splunk.com/en/splunk-enterprise/administer/install-and-upgrade/10.4/install-splunk-enterprise-on-windows/choose-the-windows-user-splunk-enterprise-should-run-as
Virtual Accountを指定すると、以下の通りUFにどこまでの読み取り権限を与えるかを選択する画面が表示されます。基本的にはデフォルト通りの権限を付与しておけばよいと思います。
取り込みログの指定
こちらは、インストール時に最初から取り込み対象ログを指定できるオプションです。
が、この画面で取り込み対象を指定すると、etc/apps/SplunkUniversalForwarder/local/inputs.confに取り込み設定が書き込まれます。
他のAdd-onなどを使用して取り込む際に分かりづらくなってしまうため、初回導入時にこの画面で取り込みログを指定することは個人的には推奨しません。
[備考]ForwarderのCLIインストール手順
上記はGUIによるインストール手順でした。
UFは、CLIによるインストールも可能です。
カスタマイズなしであれば以下を実行すれば一発でインストールが可能です。(パスワードはpasswordにしていますので適時変更して実行してください)
msiexec.exe /i splunkforwarder-10.4.3-4174a2deda5d-windows-x64.msi AGREETOLICENSE=yes SPLUNKPASSWORD=password /quiet
インストールに際して同時に指定可能なオプションについては以下を参照してください。
上記では、/quietオプションを指定しているため、非同期でインストールが実行されます。
数分待機した後Powershell上で以下を実行し、SplunkForwarderサービスが起動していることを確認できれば、正常にSplunk Universal Forwarderがインストールされたことを確認できます。
Get-Service SplunkForwarder
Status Name DisplayName
------ ---- -----------
Running SplunkForwarder SplunkForwarder
参考資料
Install on Windows
https://help.splunk.com/en/splunk-enterprise/administer/install-and-upgrade/10.4/install-splunk-enterprise-on-windows/install-on-windows
Install on Windows using the command line
https://help.splunk.com/en/splunk-enterprise/administer/install-and-upgrade/10.4/install-splunk-enterprise-on-windows/install-on-windows-using-the-command-line