Elasticsearch 集成

注意：

如需帮助 Elasticsearch 集成、将数据导出到 Elasticsearch 或提供反馈，请联系 CAS-PM-Ext@cloud.com。

您可以使用 Logstash 引擎将 Citrix Analytics for Performance 与 Elasticsearch 集成。通过此集成，您可以将 Citrix IT 环境中的用户数据导出并将其关联到 Elasticsearch，从而更深入地了解组织的安全状况。

有关集成的好处以及发送到您的可观测性平台的已处理数据类型的更多信息，请参阅 数据导出。

必备条件

• 为至少一个数据源启用数据处理。它帮助 Citrix Analytics for Performance 启动 Elasticsearch 集成流程。

• 确保以下终端节点位于网络的允许列表中。

  端点	美国地区	欧盟区域	亚太南部地区
  Kafka 代理	casnb-0.citrix.com:9094	casnb-eu-0.citrix.com:9094	casnb-aps-0.citrix.com:9094
  	casnb-1.citrix.com:9094	casnb-eu-1.citrix.com:9094	casnb-aps-1.citrix.com:9094
  	casnb-2.citrix.com:9094	casnb-eu-2.citrix.com:9094	casnb-aps-2.citrix.com:9094
  	casnb-3.citrix.com:9094

与 Elasticsearch 集成

1. 前往“设置”>“数据导出”。

2. 在“帐户设置”部分，通过指定用户名和密码来创建帐户。此帐户用于准备集成所需的配置文件。

   

3. 确保密码满足以下条件：

   

4. 单击 配置 以生成 Logstash 配置文件。

   

5. 从“可观测性平台”部分选择 Elastic Search 选项卡以下载配置文件：

   • Logstash 配置文件：包含用于使用 Logstash 数据收集引擎将事件从 Citrix Analytics for Performance 发送到 Elasticsearch 的配置数据（输入、筛选和输出部分）。有关 Logstash 配置文件结构的信息，请参阅 Logstash 文档。

   • JKS 文件：包括 SSL 连接所需的证书。

     注意

     这些文件包含敏感信息。将它们存放在安全可靠的地方。

     

6. 配置 Logstash：

   1. 在您的 Linux 或 Windows 主机上，安装 Logstash。您也可以使用现有的 Logstash 实例。

   2. 在安装了 Logstash 的主机上，将以下文件放在指定的目录中：

      主机类型	文件名	目录路径
      Linux	CAS_Elasticsearch_LogStash_Config.config	对于 Debian 和 RPM 软件包：/etc/logstash/conf.d/
      		对于 .zip 和 .tar.gz 存档：{extract.path}/config
      	kafka.client.truststore.jks	对于 Debian 和 RPM 软件包：/etc/logstash/ssl/
      		对于 .zip 和 .tar.gz 存档：{extract.path}/ssl
      Windows	CAS_Elasticsearch_LogStash_Config.config	C:\logstash-7.xx.x\config
      	kafka.client.truststore.jks

      有关 Logstash 安装包的默认目录结构的信息，请参阅 Logstash 文档。

   3. 打开 Logstash 配置文件并执行以下操作：

      1. 在文件的输入部分，输入以下信息：

         • 密码：您在 Citrix Analytics for Performance 中为准备配置文件而创建的帐户的密码。

         • SSL 信任存储位置：SSL 客户端证书的位置。这是主机中 kafka.client.truststore.jks 文件的位置。

         

      2. 在文件的输出部分，输入运行 Elasticsearch 的主机或群集的地址。

         

   4. 重启主机，将处理过的数据从 Citrix Analytics for Performance 发送到 Elasticsearch。

配置完成后，确认您可以在 Elasticsearch 中查看 Citrix Analytics 数据。

Logstash 配置

可以从 Citrix Analytics for Performance 页面下载 Logstash 配置示例。

以下是 Logstash 管道定义的一小部分变体，可以支持所提供的示例 Kibana 控制板：

filter {
  json {
    source => "message"
    remove_field => ["message"]
  }
  date {
    match => [ "timestamp", "ISO8601", "yyyy-MM-dd HH:mm:ss" ]
    target => "@timestamp"
  }
}

filter {
  mutate {
    copy => ["eventType", "[@metadata][eventTypeIndex]"]
  }
}

filter {
  mutate {
    lowercase => ["[@metadata][eventTypeIndex]"]
  }
}

output {
  elasticsearch {
    hosts => ["<your logstash host : port>"]
    index => "citrixanalytics-%{[@metadata][eventTypeIndex]}-%{+YYYY.MM.dd}"
  }
}
<!--NeedCopy-->

基于先前的配置，Logstash 使用 eventType 字段将会话和计算机事件分隔为单独的索引。

您可以将从 Citrix Analytics 页面下载的默认配置文件的“筛选器”和“输出”部分替换为前面的内容，然后重启 Logstash 服务。

Kibana 控制面板示例

您可以导入 Citrix 提供的示例 Kibana 控制面板，其中包括：

• 指标
• 时间图表
• 会话和基础设施遥测的其他有用可视化效果。

您可以从 Citrix Analytics 下载页面下载控制板定义（JSON 文件）。

您可以将控制面板文件导入到您的 Kibana 实例中，可以导入到 Elasticsearch 云帐户或企业帐户。

在导入控制面板之前，请确保您已正确配置了 Logstash、Elasticsearch 和 Kibana 实例，并且能够在 Kibana 索引管理页面中查看 citrixanalytics 索引。

要导入控制板和引用的数据视图，请执行以下步骤：

1. 导航到“管理”>“保存的对象”。
2. 单击“导入”，然后选择包含在给定压缩文件中的提供的 ndjson 文件。
3. 您可以选择使用随机 ID 创建新对象。
4. 单击导入。

完成前面的步骤后，您可以查看四个新保存的对象，如下图所示：

数据视图由控制板可视化引用，引用在先前的 Logstash 配置中定义的索引。您必须能够打开控制板。以下是示例控制板：

打开或关闭数据传输

在 Citrix Analytics for Performance 准备好配置文件后，将启用 Elasticsearch 的数据传输。

要停止传输来自 Citrix Analytics for Performance 的数据：

1. 前往“设置”>“数据导出”。

2. 关闭切换按钮以禁用数据传输。默认情况下，数据传输始终处于启用状态。

   

3. 此时会出现一个警告窗口供您确认。单击“关闭数据传输”以停止传输活动。

   

要再次启用数据传输，请打开切换按钮。