文档

Grafana Alloy

参考

组件

otelcol

otelcol.exporter.splunkhec

开源

社区

otelcol.exporter.splunkhec

社区：此组件由 Alloy 用户社区开发、维护和支持。Grafana 不为此组件提供商业支持。要启用和使用社区组件，您必须将 --feature.community-components.enabled flag 设置为 true。

otelcol.exporter.splunkhec 接受来自其他 otelcol 组件的指标和追踪遥测数据，并将其发送到 Splunk HEC。

注意
otelcol.exporter.splunkhec 是 otelcol-contrib 发行版中上游 OpenTelemetry Collector splunkhec exporter 的封装。如有必要，错误报告或功能请求将被重定向到上游仓库。

您可以通过为 otelcol.exporter.splunkhec 组件指定不同的标签来指定多个此类组件。

用法

otelcol.exporter.splunkhec "LABEL" {
    splunk {
        token = "YOUR_SPLUNK_TOKEN"
    }
    client {
        endpoint = "http://splunk.yourdomain.com:8088"
    }
}

参数

otelcol.exporter.splunkhec 组件不支持任何参数，完全通过子块配置。

块

otelcol.exporter.splunkhec 定义中支持以下块：

层级	块	描述	必需
splunk	splunk	配置 Splunk HEC exporter。	是
splunk->otel_to_hec_fields	otel_to_hec_fields	配置 Open Telemetry 到 HEC 字段的映射。	否
splunk->telemetry	telemetry	配置 exporter 的遥测。	否
splunk->heartbeat	heartbeat	配置 exporter 的心跳设置。	否
splunk->batcher	batcher	配置基于超时和最小项目数的批量请求。	否
client	client	配置用于向 Splunk HEC 发送数据的 HTTP 客户端。	是
retry_on_failure	retry_on_failure	配置失败请求的重试机制。	否
queue	queue	配置发送数据前的批量处理。	否
debug_metrics	debug_metrics	配置此组件用于监控其状态生成的指标。	否

splunk 块

splunk 块配置 Splunk HEC 特有的设置。

支持以下参数：

名称	类型	描述	默认值	必需
`token`	`secret`	Splunk HEC Token。		是
`log_data_enabled`	`bool`	启用从 exporter 发送日志。`log_data_enabled` 或 `profiling_data_enabled` 之一必须为 `true`。	`true`	否
`profiling_data_enabled`	`bool`	启用从 exporter 发送分析数据。`log_data_enabled` 或 `profiling_data_enabled` 之一必须为 `true`。	`true`	否
`source`	`string`	Splunk source.	`""`	否
`source_type`	`string`	Splunk source type.	`""`	否
`index`	`string`	Splunk index 名称。	`""`	否
`disable_compression`	`bool`	禁用 GZip 压缩。	`false`	否
`max_content_length_logs`	`uint`	最大日志载荷大小（字节）。必须小于 838860800 (~800MB)。	`2097152`	否
`max_content_length_metrics`	`uint`	最大指标载荷大小（字节）。必须小于 838860800 (~800MB)。	`2097152`	否
`max_content_length_traces`	`uint`	最大追踪载荷大小（字节）。必须小于 838860800 (~800MB)。	`2097152`	否
`max_event_size`	`uint`	最大事件载荷大小（字节）。必须小于 838860800 (~800MB)。	`5242880`	否
`splunk_app_name`	`string`	用于按名称跟踪 Splunk App 的遥测数据。	`Alloy`	否
`splunk_app_version`	`string`	用于按 App 版本跟踪遥测数据。	`""`	否
`health_path`	`string`	健康 API 的路径。	`/services/collector/health'`	否
`health_check_enabled`	`bool`	用于在 exporter 启动时验证 Splunk HEC 的健康状况。	`true`	否
`export_raw`	`bool`	当目标是 HEC raw 端点时，仅发送日志主体。	`false`	否
`use_multi_metrics_format`	`bool`	使用多指标格式在摄取期间节省空间。	`false`	否

otel_to_hec_fields 块

名称	类型	描述	默认值	必需
`severity_text`	`string`	将严重性文本字段映射到特定的 HEC 字段。	`""`	否
`severity_number`	`string`	将严重性数字字段映射到特定的 HEC 字段。	`""`	否

heartbeat 块

名称	类型	描述	默认值	必需
`interval`	`time.Duration`	心跳间隔的时间间隔，单位为秒。	`0s`	否
`startup`	`bool`	在 exporter 启动时发送心跳事件。	`false`	否

telemetry 块

名称	类型	描述	默认值	必需
`enabled`	`bool`	在 exporter 内部启用遥测。	`false`	否
`override_metrics_names`	`map(string)`	覆盖 exporter 中内部指标的指标名称。		否

batcher 块

名称	类型	描述	默认值	必需
`enabled`	`bool`	是否在发送给 consumerSender 之前不将批次加入队列。	`false`	否
`flush_timeout`	`time.Duration`	无论大小如何，批量数据将在此时间后发送。	`200ms`	否
`min_size`	`uint`	批量的最小大小。	`8192`	否
`max_size`	`uint`	批量的最大大小。如果批量超过此值，将被拆分成更小的批量。必须大于或等于 min_size。将此值设置为零将禁用最大大小限制。	`0`	否
`sizer`	`string`	批量大小的衡量单位。必须是 `items`、`bytes` 或 `requests` 之一。	`items`	否

client 块

client 块配置组件使用的 HTTP 客户端。

支持以下参数：

名称	类型	描述	默认值	必需
`endpoint`	`string`	要使用的 Splunk HEC 端点。		是
`read_buffer_size`	`int`	HTTP 客户端用于读取服务器响应的读取缓冲区大小。	`0`	否
`write_buffer_size`	`int`	HTTP 客户端用于写入请求的写入缓冲区大小。	`0`	否
`timeout`	`duration`	在将请求标记为失败之前等待的时间。	`"15s"`	否
`max_idle_conns`	`int`	限制客户端可以保持打开的空闲 HTTP 连接数。	`100`	否
`max_idle_conns_per_host`	`int`	限制每个主机可以保持打开的空闲 HTTP 连接数。	`0`	否
`max_conns_per_host`	`int`	限制每个主机的总连接数（正在拨号、活动和空闲）。零表示无限制。	`0`	否
`idle_conn_timeout`	`duration`	空闲连接在关闭自身之前等待的时间。	`"45s"`	否
`disable_keep_alives`	`bool`	禁用 HTTP keep-alive。	`false`	否
`insecure_skip_verify`	`bool`	忽略不安全的服务器 TLS 证书。	`false`	否

retry_on_failure 块

retry_on_failure 块配置如何重试向 splunkhec 发送的失败请求。

支持以下参数：

名称	类型	描述	默认值	必需
`enabled`	`boolean`	启用重试失败的请求。	`true`	否
`initial_interval`	`duration`	重试失败请求前初始等待的时间。	`"5s"`	否
`max_elapsed_time`	`duration`	在丢弃失败的批量数据之前等待的最大时间。	`"5m"`	否
`max_interval`	`duration`	重试之间等待的最大时间。	`"30s"`	否
`multiplier`	`number`	重试前等待时间增长的因子。	`1.5`	否
`randomization_factor`	`number`	重试前等待时间随机化的因子。	`0.5`	否

当 enabled 为 true 时，失败的批量数据会在给定间隔后重试。initial_interval 参数指定第一次重试尝试前等待的时间。如果请求持续失败，重试前等待的时间将按照 multiplier 参数指定的因子增加，该因子必须大于 1.0。max_interval 参数指定重试之间等待时间的上限。

randomization_factor 参数对于在重试的 Alloy 实例之间添加抖动非常有用。如果 randomization_factor 大于 0，则重试前的等待时间会乘以范围 [ I - randomization_factor * I, I + randomization_factor * I] 内的随机因子，其中 I 是当前间隔。

如果一个批量数据尚未成功发送，它会在 max_elapsed_time 指定的时间过后被丢弃。如果 max_elapsed_time 设置为 "0s"，则失败的请求会一直重试直到成功。

queue 块

queue 块配置发送数据到 HTTP 服务器之前的内存缓冲批量数据。

支持以下参数：

名称	类型	描述	默认值	必需
`enabled`	`boolean`	在发送数据到客户端之前启用内存缓冲区。	`true`	否
`num_consumers`	`number`	并行发送写入队列的批量数据的读取器数量。	`10`	否
`queue_size`	`number`	队列中同时允许存在的未写入批量数据的最大数量。	`1000`	否
`blocking`	`boolean`	如果为 `true`，则阻塞直到队列有空间容纳新请求。	`false`	否

当 enabled 为 true 时，数据首先被写入内存缓冲区，然后再发送到配置的服务器。发送到组件的 input 导出字段的批量数据会被添加到缓冲区，只要未发送批量数据的数量不超过配置的 queue_size。

queue_size 决定了可以容忍的端点中断时长。假设每秒 100 个请求，默认队列大小 1000 可提供大约 10 秒的中断容忍。要计算正确的 queue_size 值，将每秒平均出站请求数乘以可容忍的中断秒数。值过高可能导致内存溢出 (OOM) 终止。

num_consumers 参数控制有多少个读取器从缓冲区读取数据并并行发送。较大的 num_consumers 值可以更快地发送数据，但会增加网络流量。

debug_metrics 块

debug_metrics 块配置此组件用于监控其状态生成的指标。

支持以下参数：

名称	类型	描述	默认值	必需
`disable_high_cardinality_metrics`	`boolean`	是否禁用某些高基数指标。	`true`	否

disable_high_cardinality_metrics 是 Grafana Alloy 中与 OpenTelemetry Collector 中的 telemetry.disableHighCardinalityMetrics 功能门等效的配置。它会移除可能导致高基数指标的属性。例如，关于 HTTP 和 gRPC 连接的指标中包含 IP 地址和端口号的属性将被移除。

注意
如果配置了此项，disable_high_cardinality_metrics 仅适用于 otelcol.exporter.* 和 otelcol.receiver.* 组件。

导出字段

导出以下字段，可供其他组件引用：

名称	类型	描述
`input`	`otelcol.Consumer`	其他组件可用于发送遥测数据的值。

input 接受任何遥测信号（指标、日志或追踪）的 otelcol.Consumer 数据。

组件健康状态

只有配置无效时，otelcol.exporter.splunkhec 才会被报告为不健康。

调试信息

otelcol.exporter.splunkhec 不会暴露任何组件特有的调试信息。

示例

Open Telemetry Receiver

此示例将发送到 otelcol.receiver.otlp.default receiver 的指标、日志和追踪转发到 Splunk HEC exporter。

otelcol.receiver.otlp "default" {
	grpc {
		endpoint = "localhost:4317"
	}

	http {
		endpoint               = "localhost:4318"
		compression_algorithms = ["zlib"]
	}

	output {
		metrics = [otelcol.exporter.splunkhec.default.input]
		logs    = [otelcol.exporter.splunkhec.default.input]
		traces  = [otelcol.exporter.splunkhec.default.input]
	}
}

otelcol.exporter.splunkhec "default" {
	client {
		endpoint                = "https://splunkhec.domain.com:8088/services/collector"
		timeout                 = "10s"
		max_idle_conns          = 200
		max_idle_conns_per_host = 200
		idle_conn_timeout       = "10s"
	}

	splunk {
		token              = "SPLUNK_TOKEN"
		source             = "otel"
		sourcetype         = "otel"
		index              = "metrics"
		splunk_app_name    = "OpenTelemetry-Collector Splunk Exporter"
		splunk_app_version = "v0.0.1"
z
		otel_to_hec_fields {
			severity_text   = "otel.log.severity.text"
			severity_number = "otel.log.severity.number"
		}

		heartbeat {
			interval = "30s"
		}

		telemetry {
			enabled                = true
			override_metrics_names = {
				otelcol_exporter_splunkhec_heartbeats_failed = "app_heartbeats_failed_total",
				otelcol_exporter_splunkhec_heartbeats_sent   = "app_heartbeats_success_total",
			}
			extra_attributes = {
				custom_key   = "custom_value",
				dataset_name = "SplunkCloudBeaverStack",
			}
		}
	}
}

转发 Prometheus 指标

此示例通过一个 receiver 将来自 Alloy 的 Prometheus 指标转换为 Open Telemetry 格式，最后将其发送到 splunkhec。

prometheus.exporter.self "default" {
}

prometheus.scrape "metamonitoring" {
  targets    = prometheus.exporter.self.default.targets
  forward_to = [otelcol.receiver.prometheus.default.receiver]
}

otelcol.receiver.prometheus "default" {
  output {
    metrics = [otelcol.exporter.splunkhec.default.input]
  }
}


otelcol.exporter.splunkhec "default" {
    splunk {
        token = "SPLUNK_TOKEN"
    }
    client {
        endpoint = "http://splunkhec.domain.com:8088"
    }
}

转发 Loki 日志

此示例监控路径 /var/log 中以 .log 结尾的文件，使用 Loki 跟踪这些日志，并将日志转发到配置的 Splunk HEC 端点。Splunk HEC exporter 组件配置为每 5 秒发送一次心跳。

local.file_match "local_files" {
	path_targets = [{"__path__" = "/var/log/*.log"}]
	sync_period  = "5s"
}

otelcol.receiver.loki "default" {
	output {
		logs = [otelcol.processor.attributes.default.input]
	}
}

otelcol.processor.attributes "default" {
	action {
		key    = "host"
		action = "upsert"
		value  = "myhost"
	}

	action {
		key    = "host.name"
		action = "upsert"
		value  = "myhost"
	}

	output {
		logs = [otelcol.exporter.splunkhec.default.input]
	}
}

loki.source.file "log_scrape" {
	targets       = local.file_match.local_files.targets
	forward_to    = [otelcol.receiver.loki.default.receiver]
	tail_from_end = false
}

otelcol.exporter.splunkhec "default" {
	retry_on_failure {
		enabled = false
	}

	client {
		endpoint                = "http://splunkhec.domain.com:8088"
		timeout                 = "5s"
		max_idle_conns          = 200
		max_idle_conns_per_host = 200
		idle_conn_timeout       = "10s"
		write_buffer_size       = 8000
	}

	sending_queue {
		enabled = false
	}

	splunk {
		token            = "SPLUNK_TOKEN"
		source           = "otel"
		sourcetype       = "otel"
		index            = "devnull"
		log_data_enabled = true

		heartbeat {
			interval = "5s"
		}

		batcher {
			flush_timeout = "200ms"
		}

		telemetry {
			enabled                = true
			override_metrics_names = {
				otelcol_exporter_splunkhec_heartbeats_failed = "app_heartbeats_failed_total",
				otelcol_exporter_splunkhec_heartbeats_sent   = "app_heartbeats_success_total",
			}
			extra_attributes = {
				host   = "myhost",
				dataset_name = "SplunkCloudBeaverStack",
			}
		}
	}
}