我如何可靠地将日志从事件中心发送到Splunk

Question

我想保证从事件中心向Splunk传递邮件，且没有重复项

我一直在考虑使用Azure Functions，因为我喜欢它的无服务器方面，但是即使函数以错误完成，Azure Functions似乎也会推进事件中心检查点。如果我们的Splunk实例关闭了很长时间（API升级或其他无法预料的问题），这将导致消息丢失事件中心事件上的azure功能触发器的重试策略似乎也不可配置

还有其他解决方案可以可靠地将事件中心中的消息发送到Splunk吗？

Answer 1

似乎Microsoft提供了两种将Azure数据收集到Splunk中的方法

https://github.com/Microsoft/AzureFunctionforSplunkVS

此选项与Azure Functions集成，并且正如您提到的，可能存在故障和重试问题。

https://github.com/Microsoft/AzureMonitorAddonForSplunk

似乎该选项使用拉动机制，应避免出现故障和退役的问题。但是，存在以下风险：如果加载项在相当长的时间内无法运行，则数据可能会滚动，并且您会冒着丢失数据的风险。