> ## Documentation Index > Fetch the complete documentation index at: https://docs.automq.com/llms.txt > Use this file to discover all available pages before exploring further. # Splunk Sink Connector > 介绍如何在 AutoMQ Connect 中配置和运行 Splunk Sink Connector，包括前置条件、配置、监控和故障排查。 ## 概述 Splunk Sink Connector 消费 Kafka Topic 中的记录，并通过 Splunk HTTP Event Collector（HEC）将记录写入 Splunk。它位于 Kafka 与 Splunk 之间，适合把应用日志、审计事件、指标明细和业务事件持续送入 Splunk，以便检索、分析和告警。 Connector 默认使用 HEC `/event` 端点，将记录值包装为事件，并可为不同 Topic 设置 index、source 和 sourcetype。也可以切换到 `/raw` 端点发送原始内容，或通过 Kafka Header 动态覆盖 Splunk 元数据。任务会批量发送记录；默认未启用 HEC 确认时，成功的 HTTP 响应用于判定批次完成，启用确认后则等待 Splunk 返回对应的 indexer acknowledgement 再推进 Kafka Offset。故障恢复仍可能重放尚未提交的记录，因此下游应允许重复事件。 ## 前置条件 * Splunk 已启用 HEC，并准备可用的 HEC URI 和 Token；Token 对默认或显式配置的 index 具有写入权限。 * 使用 HTTPS 并校验证书时，每个可能运行 Task 的 Worker 都能读取包含所需 CA 链的信任库文件。 * 启用 HEC 确认时，Splunk 中对应 Token 已启用 indexer acknowledgement。 ## 授权许可 使用 Apache License 2.0。 ## 快速开始 提前准备 Connect Cluster、Kafka 输入 Topic 和 Splunk HEC，确认网络连通、Token 权限以及 Worker 对信任库的读取权限；创建和管理操作参见[管理 Connector](../manage-connectors)。以下配置使用 HTTPS `/event` 端点，并由 HEC Token 的默认设置决定 index、source 和 sourcetype。 ```properties theme={null} connector.class=com.splunk.kafka.connect.SplunkSinkConnector topics= splunk.hec.uri=https://:8088 splunk.hec.token= splunk.hec.ssl.trust.store.path= splunk.hec.ssl.trust.store.password= ``` 替换输入 Topic、HEC 地址、Token 和 Worker 本地信任库信息。信任库默认类型为 `JKS`；使用其他受 JVM 支持的类型时添加 `splunk.hec.ssl.trust.store.type`。Token 和信任库密码应通过受控的配置管理方式提供。示例继承 Worker 的 Converter，实际记录编码不一致时应显式配置 `key.converter` 和 `value.converter`。 ## 配置 ### HEC 连接与身份认证 #### `splunk.hec.token` 访问 Splunk HEC 的 Token。 * **类型**：`password` * **默认值**：无，必填 * **重要级别**：高 * **有效值 / 注意事项**：使用已启用且有权写入目标 index 的 Token；按敏感配置管理，不写入日志或共享示例。 #### `splunk.hec.uri` Splunk HEC 基础 URI。 * **类型**：`string` * **默认值**：无，必填 * **重要级别**：高 * **有效值 / 注意事项**：可使用逗号分隔多个 HTTP 或 HTTPS URI；默认强制 HTTPS。避免在 URI 项目前后加入空白。 #### `splunk.validation.disable` 控制 Connector 配置校验时是否跳过对 Splunk 的实时请求。 * **类型**：`boolean` * **默认值**：`false` * **重要级别**：中 * **有效值 / 注意事项**：`false` 会使用第一个 HEC URI 对配置的 index 发送校验事件；`true` 仅跳过该远程校验，不跳过必填项、URI、Kerberos 或 Task 配置检查。 #### `kerberos.user.principal` 用于 HEC HTTP 请求的 Kerberos Principal。 * **类型**：`string` * **默认值**：空字符串 * **重要级别**：中 * **有效值 / 注意事项**：启用 Kerberos 时必须与 `kerberos.keytab.path` 同时设置；Kerberos 不替代 HEC Token。 #### `kerberos.keytab.path` Kerberos Keytab 的 Worker 本地路径。 * **类型**：`string` * **默认值**：空字符串 * **重要级别**：中 * **有效值 / 注意事项**：启用 Kerberos 时必须与 `kerberos.user.principal` 同时设置，并确保每个 Task 所在 Worker 可读取该文件。 ### TLS 安全 #### `splunk.hec.ssl.enforced` 控制是否强制 HEC URI 使用 HTTPS。 * **类型**：`boolean` * **默认值**：`true` * **重要级别**：高 * **有效值 / 注意事项**：`true` 拒绝 HTTP；设为 `false` 仍只接受 HTTP 或 HTTPS。使用 HTTP 会明文传输事件和 Token。 #### `splunk.hec.ssl.validate.certs` 控制 HTTPS 连接是否校验证书和主机名。 * **类型**：`boolean` * **默认值**：`true` * **重要级别**：中 * **有效值 / 注意事项**：保持 `true` 时必须配置非空的 `splunk.hec.ssl.trust.store.path`；仅在受控诊断或明确接受风险时关闭。 #### `splunk.hec.ssl.trust.store.path` 用于校验 Splunk 证书的信任库文件路径。 * **类型**：`string` * **默认值**：空字符串 * **重要级别**：高 * **有效值 / 注意事项**：HTTPS 且启用证书校验时必填；路径必须对每个 Task 进程可见且可读。 #### `splunk.hec.ssl.trust.store.type` 信任库类型。 * **类型**：`string` * **默认值**：`JKS` * **重要级别**：低 * **有效值 / 注意事项**：常见值包括 `JKS` 和 `PKCS12`，实际支持范围取决于 JVM 安全提供程序。 #### `splunk.hec.ssl.trust.store.password` 加载信任库所需的密码。 * **类型**：`password` * **默认值**：空字符串 * **重要级别**：高 * **有效值 / 注意事项**：按信任库实际设置填写并作为敏感配置管理；空字符串是 ConfigDef 默认值。 ### 端点与事件格式 #### `splunk.hec.raw` 选择 HEC `/raw` 或 `/event` 端点。 * **类型**：`boolean` * **默认值**：`false` * **重要级别**：中 * **有效值 / 注意事项**：`false` 使用 JSON `/event`；`true` 使用 `/raw`，此时元数据按整个请求批次应用，事件字段增强和自定义 Header 字段不适用。 #### `splunk.hec.raw.line.breaker` 为 `/raw` 模式的每条记录追加分隔符。 * **类型**：`string` * **默认值**：空字符串 * **重要级别**：中 * **有效值 / 注意事项**：仅在 `splunk.hec.raw=true` 时使用，并应与 Splunk sourcetype 的换行和事件切分规则一致。 #### `splunk.hec.json.event.formatted` 尝试把记录值解析为完整的 HEC JSON Event 对象。 * **类型**：`boolean` * **默认值**：`false` * **重要级别**：低 * **有效值 / 注意事项**：仅用于 `/event`；解析失败时记录值会回退为普通事件内容，而不是保持预格式化对象语义。 ### Splunk 元数据路由 #### `splunk.indexes` 为显式订阅的 Topic 指定 Splunk index。 * **类型**：`string` * **默认值**：空字符串 * **重要级别**：中 * **有效值 / 注意事项**：空值使用 HEC Token 默认 index；可提供一个值供所有 Topic 共用，或按 `topics` 顺序提供等数量的逗号分隔值。`topics.regex` 不支持这种位置映射。 #### `splunk.sources` 为显式订阅的 Topic 指定 Splunk source。 * **类型**：`string` * **默认值**：空字符串 * **重要级别**：中 * **有效值 / 注意事项**：可提供一个共用值，或按 `topics` 顺序提供等数量的逗号分隔值；空值使用 HEC 默认设置，`topics.regex` 不支持位置映射。 #### `splunk.sourcetypes` 为显式订阅的 Topic 指定 Splunk sourcetype。 * **类型**：`string` * **默认值**：空字符串 * **重要级别**：中 * **有效值 / 注意事项**：可提供一个共用值，或按 `topics` 顺序提供等数量的逗号分隔值；空值使用 HEC 默认设置，`topics.regex` 不支持位置映射。 ### Kafka Header 映射 #### `splunk.header.support` 启用 Kafka Header 到 Splunk 元数据和字段的映射。 * **类型**：`boolean` * **默认值**：`false` * **重要级别**：中 * **有效值 / 注意事项**：启用后，配置的 Header 可覆盖 index、host、source 和 sourcetype；`/raw` 会按这四类元数据对记录分组。 #### `splunk.header.custom` 指定写入 `/event` 字段的自定义 Kafka Header 名称。 * **类型**：`string` * **默认值**：空字符串 * **重要级别**：中 * **有效值 / 注意事项**：使用逗号分隔 Header 名称，需同时启用 `splunk.header.support`；不用于 `/raw` 的索引字段。 #### `splunk.header.index` 指定覆盖 Splunk index 的 Kafka Header 名称。 * **类型**：`string` * **默认值**：`splunk.header.index` * **重要级别**：中 * **有效值 / 注意事项**：仅在 `splunk.header.support=true` 时使用，存在多个同名 Header 时使用最后一个值。 #### `splunk.header.source` 指定覆盖 Splunk source 的 Kafka Header 名称。 * **类型**：`string` * **默认值**：`splunk.header.source` * **重要级别**：中 * **有效值 / 注意事项**：仅在 `splunk.header.support=true` 时使用，Header 值会转换为字符串。 #### `splunk.header.sourcetype` 指定覆盖 Splunk sourcetype 的 Kafka Header 名称。 * **类型**：`string` * **默认值**：`splunk.header.sourcetype` * **重要级别**：中 * **有效值 / 注意事项**：仅在 `splunk.header.support=true` 时使用，Header 值会转换为字符串。 #### `splunk.header.host` 指定覆盖 Splunk host 的 Kafka Header 名称。 * **类型**：`string` * **默认值**：`splunk.header.host` * **重要级别**：中 * **有效值 / 注意事项**：仅在 `splunk.header.support=true` 时使用，Header 值会转换为字符串。 ### 事件字段与时间 #### `splunk.hec.json.event.enrichment` 为 `/event` 记录添加固定字段。 * **类型**：`string` * **默认值**：空字符串 * **重要级别**：低 * **有效值 / 注意事项**：使用逗号分隔的 `key=value` 项；每项必须恰好形成非空键和值，重复键以后出现的值为准。不适用于 `/raw`。 #### `splunk.hec.track.data` 为 `/event` 添加 Kafka 位置和记录跟踪字段。 * **类型**：`boolean` * **默认值**：`false` * **重要级别**：低 * **有效值 / 注意事项**：可能包含 Topic、分区、Offset、时间戳、记录 key 和 Connect 主机信息；启用前评估敏感数据暴露。 #### `splunk.hec.use.record.timestamp` 使用 Kafka 记录时间戳作为普通 `/event` 事件时间。 * **类型**：`boolean` * **默认值**：`true` * **重要级别**：中 * **有效值 / 注意事项**：正则提取时间启用并成功时可覆盖该时间；不用于 `/raw` 或已成功解析的预格式化事件。 #### `splunk.hec.auto.extract.timestamp` 控制是否向 HEC 请求附加 `auto_extract_timestamp` 参数。 * **类型**：`boolean` * **默认值**：`null` * **重要级别**：低 * **有效值 / 注意事项**：`null` 表示不发送该参数；显式设置 `true` 或 `false` 会将对应值交给 HEC。它与 Connector 的正则时间提取相互独立。 #### `enable.timestamp.extraction` 启用 Connector 侧的事件时间正则提取。 * **类型**：`boolean` * **默认值**：`false` * **重要级别**：中 * **有效值 / 注意事项**：仅用于普通 `/event`；启用时必须设置包含命名组 `time` 的 `timestamp.regex`，并配置适用的时间格式。 #### `timestamp.regex` 从事件文本中提取时间值的 Java 正则表达式。 * **类型**：`string` * **默认值**：空字符串 * **重要级别**：中 * **有效值 / 注意事项**：启用提取时必须包含 `(?