リモート・サーバーへのログの転送

apsyslog ユーティリティーを使用して、システム・ログ・イベントを IBM® Integrated Analytics System からリモート・ログ・サーバーに送信するよう構成する方法を説明します。

apsyslog は、rsyslog サーバーおよび接続されているすべてのノード上の構成ファイルを変更します。その結果、構成されたメッセージがすべて rsyslogd に渡され、その後、必要なメッセージがログ・サーバーに転送されます。

始める前に

この機能は、外部 IP が構成されているノードでのみ構成できます。
リモート・ロギング・サーバーで、ノードからの転送メッセージの受け入れを有効にする必要があります。
転送ルールを構成する前に、ノードを有効にする必要があります。
監査ログの転送の場合は、ユーティリティーによってファイル /etc/audisp/plugins.d/syslog.conf が構成され、rsyslog.conf で監査転送ルールが定義されます。
有効な監査ログ機能オプションは、LOG_LOCAL0 から 7 です。ファイル /etc/audisp/plugins.d/syslog.conf で、以下のように指定します。
```
active = yes
direction = out
path = builtin_syslog
type = builtin
args = LOG_LOCAL7       #default value as per scripts
format = string
```
rsyslog.conf 内の対応するエントリーは、以下のとおりです。
```
Local7.* @@<ServerIP:Port>
```

このタスクについて

コマンド構文:

apsyslog <operation> --server <server:ip> --nodes <all | node0101,node0102> --mode <append|overwrite>

使用可能な操作は以下のとおりです。

apsyslog enable --server <server:ip> --nodes <all | node0101,node0102>: 選択されたノードで機能を有効にします。
apsyslog show --nodes <all | node0101,node0102>: 選択されたノードで構成されている転送ルールのリストを表示します。
apsyslog unset --fwdrule <facility.priority> --nodes <all | node0101,node0102>: 選択されたノードの既存の転送ルールを削除します。
apsyslog set --diskSpace <2g> --nodes <all | node0101,node0102>: 選択されたノードでディスク・スペースの制限を設定します。
apsyslog set --retryCount <5> --nodes <all | node0101,node0102>: リモート・ロギング・サーバーに到達できない場合の再試行回数を設定します。
apsyslog disable -nodes <all | node0101,node0102>: 有効化されているノードで、rsyslog および syslogconfig ファイルをリストアします。

オプションの引数:

-h, --help: このヘルプ・メッセージを表示して、終了します。
--server <RemoteServerIP:Port>: リモート・サーバーのロギング詳細。
--fwdRule <facility.priority>: ログの機能および優先度。
--nodes <all |node0101,node0102>: 構成するノードのリスト。コンマ (,) を使用してノードを区切ります。
--diskSpace <1g>: キューのディスク・スペース制限。デフォルトは 1g です。
--retryCount <n>: リモート・サーバー・ロギング・ホストに到達できない場合の再試行回数。デフォルト値は 1 です。
--mode <append|overwrite>: 新しく構成されたルールを追加するか、上書きするかを指定します。デフォルト値は append です。append モードでは、ユーティリティーによって既存の転送ルールに新しいルールが追加されます。overwrite モードでは、ユーティリティーによって、既存の転送ルールが新しいルールで上書きされます。

手順

機能を構成するには、任意のノードから以下のコマンドを実行し、ノードでのリモート・ロギング・サーバーへのメッセージの転送を有効にします。
```
apsyslog enable --server <server:ip> --nodes <all | node0101,node0102>
```
有効化したら、有効化されたノードでその他の操作 (set | unset| show| disable) を実行できます。

注:
有効化操作の一環として、ユーティリティーはデフォルトで、リストされているすべてのノードで監査ログ機能の転送ルールを構成します。
有効化されたノードで、構成された転送ルールのリストを表示します。
```
apsyslog show --nodes <all | node0101,node0102>
```
有効化されたノードで新しいルールを設定するには、以下のコマンドを実行します。指定されたノードで設定されておらず、存在もしていない、新しい転送ルールを使用する必要があります。
```
apsyslog set --fwdRule <facility.priority>  --nodes <all | node0102,node0103> --mode <append |overwrite>
```
例えば、監査ログ機能の場合は、転送ルールとして使用する必要があるのは local7 のみです。監査転送メッセージを設定するコマンドの例は、以下のとおりです。
```
apsyslog set –fwdRule local7 –nodes < all | node0101,node0102>
```
転送ルールを設定解除するには、以下のコマンドを実行します。指定されたノードで既に設定されているか、存在する転送ルールを使用する必要があります。構成されている転送ルールを確認するには、show 操作を使用します。
```
apsyslog unset --fwdrule <facility.priority> --nodes <all | node0101,node0102>
```
ノードをデフォルトのロギング設定にリストアする (元の rsyslog および syslogconfig ファイルをリストアする) には、以下のコマンドを使用します。
```
apsyslog disable -nodes <all | node0101,node0102>
```
disable 操作の実行後、選択したノードで転送ルールを構成する場合は、それらのノードを再度有効にする必要があります。