Fluentd 发送到 Splunk HEC：想要将 sourcetype 设置为命名空间

Question

是否可以以编程方式将 sourcetype 设置为生成日志的名称空间？ 我正在使用 fluentd 插件将数据发送到 Splunk http 事件收集器。 在其他地方，建议使用 ${record['kubernetes']['namespace_name'] 将索引名称设置为命名空间名称。 当我为 sourcetype 执行此操作时，实际文本只会显示在 Splunk 中，而不是转换为特定的命名空间名称。

@include systemd.conf
@include kubernetes.conf

<match kubernetes.var.log.containers.fluentd**>
  type null
</match>

<match **>
  type splunk-http-eventcollector
  all_items true
  server host:port
  token ****
  index kubernetes
  protocol https
  verify false
  sourcetype ${record['kubernetes']['namespace_name']
  source kubernetes
  buffer_type memory
  buffer_queue_limit 16
  chunk_limit_size 8m
  buffer_chunk_limit 150k
  flush_interval 5s
</match>

Answer 1

如果您没有在适当的sourcetype （和关联的transforms.conf ）中定义源props.conf ，Splunk 将尝试根据启发式方法确定源类型

这些启发式方法在自定义数据源上通常不是很准确

不要尝试“以编程方式将源类型设置为生成日志的名称空间”，而是添加一个字段，其内容指示生成日志的名称空间（例如“名称空间”）

它更简单，更有效地扩展您的日志记录，并且不需要定义分数或数百或数千个单独的源类型