WindowsのイベントログをKinesis Firehoseに送る
Windows ServerのイベントログをKinesis Firehoseに送りたかったので調べたら、 Amazon Kinesis Agent for Microsoft Windowsなるものがあった。githubのリポジトリはスター数少ないし、ダウンロードページは異様に淡白なUIだし不安になったが、ちゃんと動いたのでざっくりメモ。
公式ドキュメントなど
- https://docs.aws.amazon.com/ja_jp/kinesis-agent-windows/latest/userguide/getting-started.html
- https://github.com/awslabs/kinesis-agent-windows
- https://s3-us-west-2.amazonaws.com/kinesis-agent-windows/downloads/Kinesis-Agent-for-Windows-User-Guide.pdf
- https://s3-us-west-2.amazonaws.com/kinesis-agent-windows/downloads/index.html
インストール
ダウンロードページではmsiでのインストールがrecommendedになってるけど、ドキュメントには別にそんなこと書いてないので、ワンライナーなPowershellで入れた。
iex ((New-Object System.Net.WebClient).DownloadString('https://s3-us-west-2.amazonaws.com/kinesis-agent-windows/downloads/InstallKinesisAgent.ps1'))
設定ファイル
%PROGRAMFILES%\Amazon\AWSKinesisTap
によしなに書いたappsettings.json
を置けばいいらしい。
イベントログを投げ込む設定ファイルの例が転がってるのでそれを参考にjsonを用意する。
https://docs.aws.amazon.com/ja_jp/kinesis-agent-windows/latest/userguide/configuring-kaw-examples.html
{
"Sources": [
{
"Id": "SystemLogSource",
"SourceType": "WindowsEventLogSource",
"LogName": "Application",
"Query": "*[System[(Level=1 or Level=2) and (EventID=260)]]" // 後述
}
],
"Sinks": [
{
"Id": "myKinesisFirehoseSink",
"SinkType": "KinesisFirehose",
"AccessKey": "", // FirehoseストリームがあるAWSアカウントのアクセスキー
"SecretKey": "", // 同 シークレットキー
"Region": "us-east-1", // Firehoseがあるリージョン
"StreamName": "windows-event-log-stream-01" // 作ったFirehoseのストリーム名
}
],
"Pipes": [
{
"Id": "EventLogToFirehose",
"SourceRef": "SystemLogSource", // SourceのIDに一致させる
"SinkRef": "myKinesisFirehoseSink" // SinkのIDに一致させる
}
],
"SelfUpdate": 0
}
イベントログのクエリ
イベントビューアーから、取りたいイベントログを取得するカスタムビューをポチポチ作ればクエリが表示される。
複数ストリームを使う
Souces
, Sinks
, Pipes
をそれぞれ増やせばいい。
起動
Start-Service -Name AWSKinesisTap
Get-Service -Name AWSKinesisTap // 起動してるか確認
トラブルシューティング
Start-Service -Name AWSKinesisTap
Get-Service -Name AWSKinesisTap // 起動してるか確認
とにかく↓のログを見る。
%PROGRAMDATA%\Amazon\AWSKinesisTap\logs
送信に成功したときは特にログは出ないっぽいので、Kinesisのログなどで確認。
Author And Source
この問題について(WindowsのイベントログをKinesis Firehoseに送る), 我々は、より多くの情報をここで見つけました https://qiita.com/tinoji/items/ec5a7d32304a1bf89964著者帰属:元の著者の情報は、元のURLに含まれています。著作権は原作者に属する。
Content is automatically searched and collected through network algorithms . If there is a violation . Please contact us . We will adjust (correct author information ,or delete content ) as soon as possible .