[Splunk] はおそらくイベント・ログ管理のツールとしてはおそらくもっとも有名で、日本でも販売展開しているので知っている人も多いかと思う。その splunk が [Splunk Storm] というサービスを始めている。試しに使ってみたのでその感想。



料金に応じて、格納可能なデータの容量が増える課金体系。無料でも1GBまで利用可能。

データの取り込みは以下の方法が提供されている:

  - Syslog, Rsyslog, Syslog-ng などから転送
  - TCP/UDP を使って直接登録
    - `cat some_file.log | nc endpoind_hostname port` で登録可能
  - HTTP API
  - forwarder と呼ばれるクライアントプログラム
    - ログの読み取りなども可能
  - ファイルアップロード

試しにアカウントをとってApacheのログ形式のデータをncでがんがん取り込んでみたところ、1GB を超えたところでもうこれ以上追加できないとのメールが届いた。結果、200万件以上のデータが登録できていた。

複雑な検索式を使って特定の条件に合うレコードを弾き出したり、図示することができる。たとえば、ステータスコードでグルーピングしたグラフを表示するには、以下の検索式を指定する。

    sourcetype="access_combined" status="*" | timechart count by status

リアルタイムで計算しているらしく、新しい時間帯から古い時間帯へとどんどんグラフが追加されていく。

![httpstatus](/images/2013-03-17-logging-with-splunk-storm/httpstatus.png)

さすがというか、よくできている。

[Splunk]: http://www.splunk.com/
[Splunk Storm]: https://www.splunkstorm.com/storm/

イベント管理にSplunk Stormを使ってみる

[fluent-plugin-graphite] 利用時のメモ。

Ops界隈での可視化というと、ここ何年かは[Graphite]でグラフを作ってそれを他のツールで表示する、みたいなのが多い。[Fluentd]のデータを可視化したい場合は[GrowthForecast]が使われることが多いけど、[Graphite]使ってみるといろんなツールと組み合わせられておもしろい。



Fluentd から Graphite へデータを送るのは [Fluent-plugin-graphite] を使えば簡単に実現できそうなんだけど、プラグイン側のインターフェース(`:key` や `:count` といったキーが必要)に合わせて入力のデータを整形する必要がある。

こういった調整は、out\_map を使うことで実現できる。

    <source>
      type tail
      format apache
      path /var/log/httpd/access_log
      tag apache.access
    </source>
    <match apache.access>
      type map
      map [["graphite." + tag, time, {"key" => "graphite.apache.accesslog.code." + record["code"], "count" => 1}]]
      multi true
    </match>
    <match graphite.**>
      type graphite
    </match>

[Fluentd]: http://fluentd.org/
[Graphite]: http://graphite.wikidot.com/
[GrowthForecast]: http://kazeburo.github.com/GrowthForecast/
[fluent-plugin-graphite]: https://github.com/hotchpotch/fluent-plugin-graphite

FluentdのデータをGraphiteに出力するときのTips

[Fluentd]で取得した情報を可視化したいとき、[fluent-plugin-growthforecast]を使って[GrowthForecast]にグラフを作る方法がよく知られている。[GrowthForecast]はインストール後すぐに使い始められるお手軽ツールなんだけど、それすら面倒くさい、自前で環境を作るのが面倒、というときには[StatHat]を使うと簡単に可視化を実現できるという話。



[StatHat]はシンプルなインターフェースで必要十分な機能があり、しかも無料で使えるというサービス。HTTPでデータを登録するだけできれいなグラフが簡単に生成できるので、幅広い用途で利用できる。

以降、[Fluentd]と[StatHat]を組み合わせて利用するための設定を説明する。

## 作業

### StatHat

Stathatの[Sign up](https://www.stathat.com/sign_up)にアクセスしてメールアドレスを登録し、折り返し届くメール内のURLからパスワードを登録すればすぐ使い始められる。グラフを作るための下準備は不要。まずは、curl を使って直接 POST してみる。

    curl -d "email=登録時のメールアドレス&stat=body temperature&value=36.8" http://api.stathat.com/ez

すると、メールアドレス宛にグラフの追加が通知され、画面から確認できるようになる。

(メールアドレスに`+`みたいなURLエンコードが必要な文字を含んでる場合は、 --data-urlencode を使って一つずつパラメータを指定すればいい)

APIを利用するために必要となるキーは、初期状態だと登録時のメールアドレスになっている。これは[設定画面](https://www.stathat.com/settings)から変更可能。タイムゾーンも修正できるので住んでいる地域に変更しておいた方がいい。

### Fluentd

Fluentd から StatHat を利用するために[プラギン](https://github.com/f440/fluent-plugin-stathat)作ったので、これを利用する。

    fluent-gem install fluent-plugin-stathat

たとえば、よくある「HTTP ステータスコードのカウント」の場合、以下のような設定をすればいい。

    <source>
      type tail
      format apache
      path /var/log/httpd/access_log
      tag apache.access
    </source>
    <match apache.access>
      type datacounter
      unit minute
      tag stathut.httpstatus
      count_key code
      pattern1 2xx ^2\d\d$
      pattern2 3xx ^3\d\d$
      pattern3 4xx ^4\d\d$
      pattern4 5xx ^5\d\d$
    </match>
    <match stathut.httpstatus>
      type copy
      <store>
        type  stathat
        stat 2xx
        ezkey your_email@example.com
        count apache.access_200_count
      </store>
      <store>
        type  stathat
        stat 3xx
        ezkey your_email@example.com
        count apache.access_3xx_count
      </store>
      <store>
        type  stathat
        stat 4xx
        ezkey your_email@example.com
        count apache.access_4xx_count
      </store>
      <store>
        type  stathat
        stat 5xx
        ezkey your_email@example.com
        count apache.access_5xx_count
      </store>
    </match>

これで、こういったグラフが作れる。

![httpstatus](/images/2013-03-17-fluentd-and-stathat/httpstatus.png)
![4xx](/images/2013-03-17-fluentd-and-stathat/4xx.png)

## まとめ

[StatHat] 便利。

[StatHat]: http://www.stathat.com/
[Fluentd]: http://fluentd.org/
[GrowthForecast]: http://kazeburo.github.com/GrowthForecast/
[fluent-plugin-growthforecast]: https://github.com/tagomoris/fluent-plugin-growthforecast

Fluentdの出力結果をStatHatで可視化する

Webサーバーのログでピンポンゲームの映像を生成する[logstalgia]。



homebrew がインストール済みなら以下で動かせる。

    gem install apache-loggen
    brew install logstalgia
    apache-loggen --rate 10 | logstalgia -

[apache-loggen] はApacheのダミーログを生成してくれるスクリプト。便利。

![logstalgia](/images/2013-01-03-log-visualization-using-logstalgia/logstalgia.png)

## 参考

- [logstalgia]
- [apache-loggen]

[logstalgia]: https://code.google.com/p/logstalgia/ "logstalgia"
[apache-loggen]: http://mt.orz.at/archives/2012/11/apacherubygems.html "apache-loggen"

apatheia.info

Articles tagged 'logging'

イベント管理にSplunk Stormを使ってみる

FluentdのデータをGraphiteに出力するときのTips

Fluentdの出力結果をStatHatで可視化する

logstalgia を使ってログを可視化