入力ログ イベントを Syslog または取り込み API ターゲットに転送するように VMware Aria Operations for Logs サーバを構成できます。
フィルタされたログやタグ付けされたログを VMware Aria Operations for Logs や Syslog（またはその両方）など、1 つ以上のリモート転送先に送信するには、イベント転送を使用します。ログ転送は、既存のログ収集ツール（SIEM など）のサポートや、異なるネットワーク（DMZ や WAN など）のログ収集の統合に利用できます。
ログ フォワーダは、スタンドアローンで使用することも、クラスタ化することもできますが、リモート転送先とは分離されたインスタンスです。ログ転送用に構成されたインスタンスは、ログをローカルに保存したり、データをクエリする際に使用します。
[ログの転送] 画面にフィルタを作成するために使用する演算子は、[ログの確認] 画面で使用されるフィルタとは異なります。[[ログの確認] ページで実行] メニュー項目を使用してログ フィルタの結果をプレビューする方法については、[ログの確認] でのログ管理フィルタの使用を参照してください。
前提条件
スーパー管理者ユーザー、または関連する権限を持つロールに関連付けられたユーザーとして VMware Aria Operations for Logs の Web ユーザー インターフェイスにログインしていることを確認します。詳細については、ロールの作成と変更を参照してください。
転送先が転送されたログ数を処理できることを確認します。ターゲット クラスタが転送元インスタンスよりもかなり小さい場合には、いくつかのログが失われる可能性があります。
手順
-
[新しい転送先] をクリックして次の情報を入力します。
オプション 説明 名前 新しい転送先の一意な名前。 ホスト IP アドレスまたは完全修飾ドメイン名。 注意：転送ループとは、VMware Aria Operations for Logs クラスタがログを自分自身に転送したり、一度他のクラスタに転送して、そのクラスタから元のクラスタにログが再度転送される構成のことです。このようなループは、転送される各ログのコピーを無限に作成する場合があります。
VMware Aria Operations for Logs の Web インターフェイスでは、ログを自分自身に転送するように構成することはできません。しかし、VMware Aria Operations for Logs は間接的な転送ループを防ぐことはできません。たとえば、VMware Aria Operations for Logs クラスタ A がクラスタ B に転送し、B が同じログを A に転送して戻します。
転送先を作成する際は、間接的な転送ループが発生しないように注意してください。
プロトコル 取り込み API、Syslog、または RAW。デフォルト値は取り込み API です。
ログが [取り込み API] を使用して転送されるときには、ログの元のソースが [ソース] フィールドに保持されます。
ログが [Syslog] を使用して転送される場合は、ログの元のソースはなくなり、メッセージの転送元は、受信者側で VMware Aria Operations for Logs のフォワーダの IP アドレスまたはホスト名として記録されることがあります。
[Raw] を使用してログが転送される場合の動作は Syslog に似ていますが、Syslog の RFC コンプライアンスは保証されません。RAW は、VMware Aria Operations for Logs によってカスタム Syslog ヘッダーが追加されることなく、受信したログをそのまま転送します。この RAW プロトコルは、サードパーティ転送先に向けて、それらが想定している元の形式で Syslog イベントを転送するのに役立ちます。
[PRI/VERSION の調整] チェックボックスをオンにすると、
PRIおよびVERSIONヘッダーが見つからない場合に、VMware Aria Operations for Logs によって自動的にログにヘッダーが追加されます。注：- VMware Aria Operations for Logs の以前のバージョンからアップグレードする場合は、デフォルトで [PRI/VERSION の調整] チェック ボックスがオフになっています。アップグレード後に、必ずこのオプションを手動で選択してください。
-
ソース フィールドには、ログ フォワーダで選択したプロトコルに応じて異なる値が含まれている可能性があります。
- 取り込み API の場合、ソースは初期送信者（ログ発信者）の IP アドレスです。
- Syslog および RAW の場合、ソースはログ フォワーダの VMware Aria Operations for Logs インスタンス IP アドレスです。
SSL を使用 オプションで、取り込み API または Syslog の接続を SSL によって保護することができます。転送先によって提供された SSL 証明書が信頼されていない場合は、この構成をテストまたは保存するときに証明書を承諾することができます。 タグ オプションで、事前定義済みの値を持つタグ ペアを追加することができます。タグを使用すると、ログをより簡単にクエリすることができます。複数のカンマ区切りのタグを追加できます。 補助タグを転送 Syslog の補助タグを転送するかどうかを選択できます。 補助タグはクラスタ自身が追加されたタグです（「vc_username」、「vc_vmname」など）。ソースから直接受信したタグと一緒に転送できます。取り込み API を使用すると、補助タグが常に転送されます。
転送 Syslog の転送プロトコルを選択します。UDP または TCP を選択できます。 - 転送するログを制御するには、 [フィルタの追加] をクリックします。
フィールドおよび制約を選択して、目的のログを定義します。静的フィールドのみをフィルタとして使用できます。フィルタを選択しない場合は、すべてのログが転送されます。 [[ログの確認] ページで実行] をクリックして、作成しているフィルタの結果を表示できます。
演算子 説明 一致する 文字列およびワイルドカードの仕様と一致する文字列を検索します。* はゼロ文字以上、? は、ゼロまたは任意の 1 文字を意味します。プリフィックスとポストフィックスのグロビングがサポートされます。 たとえば、*test* は test123 や my-test-run などの文字列に一致します。
一致しない 文字列およびワイルドカードの仕様と一致する文字列を除外します。* はゼロ文字以上、? は、ゼロまたは任意の 1 文字を意味します。プリフィックスとポストフィックスのグロビングがサポートされます。 たとえば、test* は test123 を除外しますが、mytest123 は除外しません。?test* は test123 と xtest123 を除外しますが、mytest123 は除外しません。
次で開始する 指定した文字列で開始する文字列を見つけます。 たとえば、test は test123 または test を見つけますが、my-test123 は見つけません。
次で開始しない 指定した文字列で開始する文字列を除外します。 たとえば、test は test123 を除外しますが、my-test123 は除外しません。
たとえば、過去 24 時間における vCenter Server ユーザーの成功したログインを表示するには、次の手順を実行します。
次のタスク
ログ転送先は編集または複製できます。転送先を編集してログ フォワーダ名を変更すると、すべての統計がリセットされます。
