VMware vrealize Log Insight- Entwicklerhandbuch

Transkript

1 VMware vrealize Log Insight- Entwicklerhandbuch vrealize Log Insight 2.5 Dieses Dokument unterstützt die aufgeführten Produktversionen sowie alle folgenden Versionen, bis das Dokument durch eine neue Auflage ersetzt wird. Die neuesten Versionen dieses Dokuments finden Sie unter DE

2 VMware vrealize Log Insight-Entwicklerhandbuch Die neueste technische Dokumentation finden Sie auf der VMware-Website unter: Auf der VMware-Website finden Sie auch die aktuellen Produkt-Updates. Falls Sie Anmerkungen zu dieser Dokumentation haben, senden Sie Ihre Kommentare und Vorschläge an: Copyright 2014 VMware, Inc. Alle Rechte vorbehalten. Informationen zu Copyright und Marken. VMware, Inc Hillview Ave. Palo Alto, CA VMware Global, Inc. Zweigniederlassung Deutschland Freisinger Str Unterschleißheim/Lohhof Germany Tel.: +49 (0) Fax: +49 (0) VMware, Inc.

3 Inhalt 1 Informationen zum vrealize Log Insight-Entwicklerhandbuch 5 2 Verwenden der Log Insight Ingestion-API 7 3 Erzwingen von Nur-SSL-Verbindungen 9 4 API-Dienste 11 Verwenden des messages/ingest-diensts 11 Index 15 VMware, Inc. 3

4 VMware vrealize Log Insight-Entwicklerhandbuch 4 VMware, Inc.

5 Informationen zum vrealize Log 1 Insight-Entwicklerhandbuch Zielgruppe Das VMware vrealize Log Insight-Entwicklerhandbuch bietet Informationen zur Log Insight Ingestion-API. Diese Informationen richten sich an jeden, der die Log Insight Ingestion-API verwenden möchte. Sie müssen mit REST-Konzepten sowie mit dem JSON-Serialisierungsformat vertraut sein. VMware, Inc. 5

6 VMware vrealize Log Insight-Entwicklerhandbuch 6 VMware, Inc.

7 Verwenden der Log Insight Ingestion- 2 API Sie können mit der Log Insight Ingestion-API interagieren, um Ereignisse an den Log Insight-Server zu übermitteln. Bei sämtlichen API-Anforderungen und Antworten handelt es sich um UTF8-kodierte JSON-Zeichenfolgen mit dem Header-Feld Content-Type: application/json. Alle erfolgreichen Aufrufe geben den HTTP-Antwortcode 200 zurück. VMware, Inc. 7

8 VMware vrealize Log Insight-Entwicklerhandbuch 8 VMware, Inc.

9 Erzwingen von Nur-SSL- 3 Verbindungen Sie können die Log Insight-Web-Benutzeroberfläche verwenden, um Log Insight Agents und die Ingestion- API so zu konfigurieren, dass nur SSL-Verbindungen mit dem Server zugelassen werden. HINWEIS Die aktuelle Version von Log Insight unterstützt keine Syslog SSL-Verbindungen und funktioniert nur für dielog Insight-Ingestion-API. Voraussetzungen Vergewissern Sie sich, dass Sie bei der Web-Benutzeroberfläche von Log Insightals Benutzer mit der Berechtigung Admin bearbeiten angemeldet sind. Das URL-Format lautet wobei log-insighthost die IP-Adresse oder der Hostname der virtuellen Log Insight-Appliance ist. Vorgehensweise 1 Klicken Sie auf das Dropdown-Menüsymbol für die Konfiguration und wählen Sie Verwaltung aus. 2 Klicken Sie unter Konfiguration auf SSL. 3 Aktivieren Sie unter API Server SSL das Kontrollkästchen SSL-Verbindung erforderlich. 4 Klicken Sie auf Speichern. Die Log Insight-API gestattet nur SSL-Verbindungen zu dem Server. Nicht-SSL-Verbindungen werden abgewiesen. VMware, Inc. 9

10 VMware vrealize Log Insight-Entwicklerhandbuch 10 VMware, Inc.

11 API-Dienste 4 Eine Liste der Dienste, die von der Log Insight Ingestion-API bereitgestellt werden. Verwenden des messages/ingest-diensts Sie können den messages/ingest-dienst verwenden, um unter Verwendung von HTTP POST-Anforderungen Ereignisse an einen Log Insight-Server zu senden. Der messages/ingest-dienst verwendet die folgende Syntax. Protokoll HTTP HTTPS Wert Wenn Sie SSL über die Web-Benutzeroberfläche erzwingen, können Sie nur HTTPS verwenden. Siehe Kapitel 3, Erzwingen von Nur-SSL-Verbindungen, auf Seite 9. HTTP-Methode POST HINWEIS Die Log Insight Ingestion-API ist auf 100 KB pro HTTP POST-Anforderung beschränkt. VMware, Inc. 11

12 VMware vrealize Log Insight-Entwicklerhandbuch Parameter Parameter Typ Weiterleitungsziel Beschreibung agentid String In URL Die ID des sendenden Agent sollte dem UUID-Standard folgen. Der Agent kann ein offizieller Log Insight-Windows- oder Linux-Agent oder ein beliebiger Client sein, der die Ingestion-API nutzt. Content-Type: application/json String In POST- Textkörper Der Parameter Content-Type gibt die Art der Daten im POST-Textkörper an. Events array Array In POST- Textkörper Ein Array der Ereignisse. Jedes Ereignis muss das folgende Format aufweisen. {"messages": [{ "text": optional, message text as a string, "timestamp": optional, timestamp encoded as number of milliseconds since Unix epoch, "fields": optional array of [{ "name": the name of the field, "content": optional, the content of the field, "startposition": optional, the start position in the "text", "length": optional, the length of the string in the "text", },...] },...] } HINWEIS Der Log Insight-Server vergleicht den "timestamp", den Sie mit der lokalen Zeit auf dem Log Insight-Server angegeben haben. Wenn Sie einen "timestamp" angeben, der außerhalb der tolerierten 10-minütigen Abweichung liegt, ignoriert der Log Insight-Server Ihren "timestamp" und verwendet die lokale Zeit. Wenn der "timestamp" nicht vorhanden ist, verwendet der Log Insight-Server die Ankunftszeit. HINWEIS Wenn der "content" eines Felds nicht vorhanden ist, müssen die "startposition" und die "length" vorhanden sein und auf eine gültige Position in der "text"-feldzeichenfolge zeigen. HTTP-Rückgabewerte Name Typ Beschreibung 200 OK Integer Standard-HTTP-Antwortcodes 400 Bad Request 500 Internal Server Error 503 Service Unavailable Diese Antwort weist darauf hin, dass der Server überlastet ist. Der Retry- After-Antwortheader gibt den vorgeschlagenen Wiederholungszeitpunkt in Sekunden an. Beispielanforderung POST Host: loginsight:9000 Connection: keep-alive 12 VMware, Inc.

13 Kapitel 4 API-Dienste Content-Type: application/json charset: utf-8 Content-Length:?? {"messages": [{ "fields": [ {"name": "Channel", "content": "Security"}, {"name": "EventID", "content": "4688"}, {"name": "EventRecordID", "content": " "}, {"name": "Keywords", "content": "Audit Success"}, {"name": "Level", "content": "Information"}, {"name": "OpCode","content": "Info"}, {"name": "ProcessID", "content": "4"}, {"name": "ProviderName", "content": "Microsoft-Windows-Security-Auditing"}, {"name": "Task", "content": "Process Creation"}, {"name": "ThreadID", "content": "64"} ], "text": "A new process has been created.", "timestamp": } ] } Beispielantwort HTTP/ OK {"status":"ok","message":"messages ingested","ingested":18} VMware, Inc. 13

14 VMware vrealize Log Insight-Entwicklerhandbuch 14 VMware, Inc.

15 Index A API messages/ingest-dienst 11 Dienste 11 verwenden 7 S SSL-Verbindung erzwingen 9 Z Zielgruppe 5 VMware, Inc. 15

16 VMware vrealize Log Insight-Entwicklerhandbuch 16 VMware, Inc.