Cribl Edge Konfiguration

Revisionshistorie

Inhaltsverzeichnis

1. Managed Edge vs. Standalone Edge
2. Fleet-Zuweisung
3. Edge-spezifische Quellen-Konfiguration
4. Windows Edge Deployment
5. Edge Health Monitoring
6. Troubleshooting Edge-Verbindung

1. Managed Edge vs. Standalone Edge

1.1 Betriebsmodi

1.2 PoC-Entscheidung: Managed Edge

1.3 Konfiguration des Managed-Edge-Modus

Die Managed-Edge-Konfiguration wird vom Installationsskript 03-install-cribl-edge-linux.sh automatisch erstellt. Die zentrale Konfigurationsdatei:

# /opt/cribl-edge/local/cribl/cribl.yml
distributed:
  mode: managed-edge
  master:
    host: "127.0.0.1"
    port: 4200
    tls:
      disabled: true
    authToken: ""

Zusaetzlich werden Umgebungsvariablen im systemd-Service gesetzt:

# /etc/systemd/system/cribl-edge.service (Auszug)
Environment=CRIBL_DIST_MODE=managed-edge
Environment=CRIBL_DIST_MASTER_URL=tcp://127.0.0.1:4200

2. Fleet-Zuweisung

2.1 Fleet-Konzept

Fleets sind logische Gruppen von Edge Nodes, die eine gemeinsame Konfiguration erhalten. Jeder Edge Node wird genau einem Fleet zugewiesen. Die Fleet-Konfiguration umfasst:

• Quellen (welche Logs werden gesammelt)
• Pipelines (wie werden Events verarbeitet)
• Routes (wohin werden Events weitergeleitet)
• Systemeinstellungen (Logging, Metriken)

2.2 Definierte Fleets

2.3 Fleet-Zuweisung in der Praxis

Beim ersten Verbindungsaufbau wird ein neuer Edge Node im Stream Leader unter Manage Edge Nodes als unverzugeordneter Node angezeigt. Die Zuweisung erfolgt manuell ueber die UI oder automatisch ueber Tags in der Edge-Konfiguration.

# Fleet-Zuweisung ueber die API
curl -s -X PATCH "http://localhost:9000/api/v1/edge/nodes/<NODE_ID>" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"fleet": "nuc-linux"}'

3. Edge-spezifische Quellen-Konfiguration

3.1 Linux Edge: Quellen-Uebersicht

Die folgenden Quellen werden auf dem Linux Edge Node (Fleet: nuc-linux) konfiguriert. Die detaillierte Beschreibung jeder Quelle findet sich im Dokument 05 - Quellen-Konfiguration.

3.2 Berechtigungen des Edge-Service-Users

Der Edge-Prozess laeuft unter dem User cribl. Damit alle Quellen gelesen werden koennen, sind folgende Gruppenzugehoerigkeiten und Capabilities konfiguriert:

4. Windows Edge Deployment

4.1 Uebersicht

Fuer den Einsatz auf Windows-Arbeitsplaetzen ist ein separates Deployment ueber PowerShell geplant. Die Skripte befinden sich im Verzeichnis windows/.

4.2 Geplante Windows-Quellen

4.3 Geplanter Installationsablauf (Windows)

1. PowerShell-Skript herunterladen (aus dem Repository oder ueber Netzlaufwerk)
2. Cribl Edge MSI/ZIP von cdn.cribl.io herunterladen
3. Installation als Windows-Service
4. Managed-Edge-Konfiguration mit Stream Leader URL
5. Service starten und Fleet-Registrierung pruefen

# Geplantes PowerShell-Deployment (Entwurf)
# .\Install-CriblEdge.ps1 -StreamLeaderUrl "tcp://<tailscale-ip>:4200" -Fleet "windows-workstations"

5. Edge Health Monitoring

5.1 Monitoring ueber Stream UI

Der Status aller Edge Nodes ist im Cribl Stream Dashboard unter Manage Edge Nodes einsehbar. Folgende Informationen werden pro Node angezeigt:

5.2 Monitoring ueber die API

# Alle Edge Nodes abfragen
curl -s -u admin:<passwort> http://localhost:9000/api/v1/edge/nodes | jq '.items[] | {
  id: .id,
  hostname: .hostname,
  status: .connectionStatus,
  version: .version,
  os: .os,
  uptime: .uptime
}'

5.3 Monitoring ueber systemd

# Service-Status pruefen
systemctl status cribl-edge

# Live-Logs verfolgen
journalctl -fu cribl-edge

# Letzten Neustart pruefen
systemctl show cribl-edge --property=ActiveEnterTimestamp

5.4 Alerting-Empfehlungen

6. Troubleshooting Edge-Verbindung

6.1 Haeufige Probleme und Loesungen

6.2 Diagnose-Befehle

# 1. Edge-Service-Status
systemctl status cribl-edge

# 2. Edge-Version und -Modus
/opt/cribl-edge/bin/cribl version
/opt/cribl-edge/bin/cribl mode

# 3. Letzte 50 Log-Zeilen
journalctl -u cribl-edge --no-pager -n 50

# 4. Port-Pruefung (Leader Management Port)
ss -tlnp | grep 4200

# 5. Verbindung zum Leader testen
curl -s -o /dev/null -w '%{http_code}' http://127.0.0.1:9000/api/v1/health

# 6. Dateiberechtigungen fuer den cribl-User pruefen
sudo -u cribl test -r /var/log/auth.log && echo "OK" || echo "KEIN ZUGRIFF"
sudo -u cribl test -r /run/log/journal && echo "OK" || echo "KEIN ZUGRIFF"

# 7. Supplementaere Gruppen des Service-Users
id cribl

# 8. Capabilities pruefen
getpcaps $(pgrep -f "cribl-edge") 2>/dev/null || echo "Prozess nicht gefunden"

# 9. Diagnostics-Bundle erstellen
/opt/cribl-edge/bin/cribl diag

6.3 Neustart-Verfahren

# Sanfter Neustart (graceful)
systemctl restart cribl-edge

# Erzwungener Neustart (bei haengendem Prozess)
systemctl kill cribl-edge
systemctl start cribl-edge

# Nach Konfigurationsaenderung: systemd neu laden
systemctl daemon-reload
systemctl restart cribl-edge

6.4 Log-Analyse

# Nur Fehler anzeigen
journalctl -u cribl-edge --no-pager -p err

# Logs seit dem letzten Start
journalctl -u cribl-edge --no-pager -b

# Verbindungsereignisse filtern
journalctl -u cribl-edge --no-pager | grep -i "connect\|register\|master"