Integración Splunk n8nAutomatiza Splunk con n8n.

Splunk deja constancia de las alertas que se han disparado y esta operación recupera ese informe dentro del flujo. No hay nada que rellenar: eliges el recurso Alert, ejecutas y el informe llega como items que los nodos siguientes pueden leer.

Las métricas cuelgan del mismo recurso Alert y también se obtienen con una sola llamada, sin ningún campo que completar. La operación las recupera de la instancia y las entrega al flujo como items normales.

Un trabajo de búsqueda cuyo resultado merece conservarse puede convertirse en informe de búsqueda guardado. Eso es lo que crea esta operación, partiendo de un trabajo que ya existe y no de una consulta reescrita.

• Search Job: obligatorio, el trabajo a partir del cual se construye el informe, elegido en la lista del nodo o pasado por su identificador desde un paso anterior con una expresión tipo {{ $json.field }}.
• Name: opcional, el nombre del informe. Ponlo, o nadie lo encontrará luego en la lista.

Los informes guardados se acumulan, sobre todo los que ha creado un flujo. Esta operación elimina uno de Splunk y no pide nada más que el informe en cuestión, lo que la convierte en el nodo final de una rama de limpieza y no en un flujo aparte.

• Report: obligatorio, el informe que se elimina, seleccionado en el nodo o indicado por identificador mediante una expresión.

Volver a leer un informe guardado desde un flujo es justo lo que hace esta operación. Splunk devuelve ese informe concreto y todo lo que venga después trabaja sobre lo devuelto.

• Report: obligatorio, el informe que se recupera, elegido en la lista del nodo o pasado por identificador, por ejemplo {{ $json.field }} cuando un nodo anterior ya ha decidido cuál.

Listar los informes de búsqueda guardados le da al flujo algo sobre lo que iterar. De ahí arranca casi toda la lógica de auditoría y de limpieza.

• Return All: activado, n8n recorre las páginas de la API y trae todos los informes; desactivado, se detiene en Limit.
• Limit: el número máximo de informes devueltos mientras Return All siga desactivado.
• Add Orphan Field: añade a cada búsqueda guardada un booleano que indica si está huérfana, es decir, sin propietario válido.

Todo lo demás del recurso Search depende de esta operación: envía una consulta y crea el trabajo de búsqueda que la ejecuta en la instancia.

• Query: obligatorio, la consulta que se ejecuta, escrita en el Search Processing Language de Splunk. El nodo muestra la forma esperada, search index=_internal | stats count by source.
• Earliest Time y Latest Time: dentro de Additional Fields, los límites inicial y final de la búsqueda, ambos incluidos.
• Max Time: segundos de ejecución antes de finalizar. Pon 0 para no finalizar nunca.

Un trabajo se queda en la instancia después de ejecutarse. Borrarlo es lo que hace esta operación, y un flujo que se dispara cada hora es precisamente el que si no dejaría un rastro largo detrás.

• Search Job: obligatorio, el trabajo que se elimina, elegido en el nodo o heredado del paso que lo creó.

Esta operación recupera un trabajo de búsqueda y lo devuelve al flujo, sin pedir las filas que haya producido. Es el paso que se coloca entre crear un trabajo y reclamar su resultado.

• Search Job: obligatorio, el trabajo que se recupera, seleccionado en el nodo o referenciado por identificador con una expresión.

En lugar de un trabajo por identificador, aquí vuelven varios de golpe. Es la manera de ver qué hay acumulado en la instancia.

• Return All: trae todos los trabajos de búsqueda recorriendo las páginas de la API; desactivado, el nodo se queda en Limit.
• Limit: cuántos trabajos vuelven cuando Return All está desactivado.

El resultado es la razón de ser de la búsqueda. Esta operación lo recoge de un trabajo y lo entrega como items al resto del flujo.

• Search Job: obligatorio, el trabajo del que sale el resultado, casi siempre el creado justo antes y referenciado con {{ $json.field }}.
• Return All y Limit: todas las filas, o solo las primeras hasta Limit.
• Key-Value Match: un par clave-valor con el que comparar. Con «Key» en user y «Field» en john, solo vuelven los resultados donde user vale john.
• Add Summary to Metadata: incluye en la respuesta las estadísticas de resumen de los campos.

Abrir una cuenta de Splunk desde un flujo pasa por esta operación, que crea el usuario en la instancia con los roles que necesita desde el primer día.

• Name: obligatorio, el nombre de acceso del usuario.
• Roles: obligatorio, los roles que se asignan, elegidos en la lista o indicados como identificadores mediante una expresión.
• Password: obligatorio.
• Email y Full Name: dentro de Additional Fields, la dirección y el nombre completo.

Una baja termina en la cuenta, y esta operación la retira de Splunk. Un solo campo y ninguna opción, algo coherente para una acción que no tiene marcha atrás.

• User: obligatorio, la cuenta que se elimina, elegida en el nodo o pasada por identificador desde el paso que identificó a la persona que se va.

Una cuenta, una lectura. La operación recupera un usuario de Splunk y lo devuelve, que es cuanto necesita un flujo que debe comprobar algo sobre una persona antes de actuar.

• User: obligatorio, la cuenta que se recupera, seleccionada en el nodo o referenciada por identificador con una expresión.

Saber quién tiene acceso a la instancia vuelve en cada revisión, y esta operación lo resuelve devolviendo varios usuarios en una sola ejecución.

• Return All: todas las cuentas de la instancia, página tras página; desactivado, el nodo devuelve solo las primeras.
• Limit: el techo de cuentas devueltas mientras Return All siga desactivado. En una revisión de accesos, dejarlo puesto es acabar con un listado parcial y la falsa sensación de tenerlo todo bajo control.

La gente cambia de equipo y los roles van detrás: esta operación actualiza una cuenta existente en lugar de rehacerla.

• User: obligatorio, la cuenta que se actualiza.
• Role Names or IDs: dentro de Update Fields, los roles que se asignan, desde la lista o como identificadores mediante una expresión.
• Email, Full Name, Password: los otros campos de Update Fields, que se aplican solo si los rellenas.