如何可靠地将日志从事件中心获取到Splunk

Question

我想保证从事件中心到Splunk的邮件传递没有重复

我之所以要使用Azure Functions是因为我喜欢它的无服务器方面，但是即使函数有错误完成，Azure Functions似乎也可以推进事件中心检查点。如果我们的Splunk实例关闭了很长时间（API升级或其他无法预料的问题），这将导致消息丢失 事件中心事件上的天蓝色功能触发器的重试策略似乎也不可配置

还有其他解决方案可以可靠地将事件中心中的消息发送到Splunk吗？

Answer 1

Microsoft似乎有2种方法将Azure数据收集到Splunk中

https://github.com/Microsoft/AzureFunctionforSplunkVS

此选项与Azure Functions集成，并且正如您提到的那样，可能存在失败和重试的问题。

https://github.com/Microsoft/AzureMonitorAddonForSplunk

该选项似乎使用拉动机制，应避免出现故障和退役问题。但是，存在以下风险：如果加载项在相当长的时间内无法运行，则数据可能会滚动，并且您会冒着丢失数据的风险。