Intégration Splunk n8nAutomatiser Splunk avec n8n.

Splunk garde la trace des alertes qui se sont déclenchées, et cette opération en récupère le rapport dans le workflow. Aucun champ à remplir : tu choisis la ressource Alert, tu exécutes, le rapport arrive sous forme d'items que les nœuds suivants peuvent lire.

Les métriques relèvent de la même ressource Alert et s'obtiennent elles aussi en un appel, sans paramètre à renseigner. L'opération les récupère depuis l'instance et les transmet au workflow comme des items ordinaires.

Un job de recherche dont le résultat mérite d'être conservé peut devenir un rapport de recherche enregistré. C'est exactement ce que crée cette opération, à partir d'un job existant et non d'une requête retapée.

• Search Job : requis, le job qui sert de base au rapport, choisi dans la liste du nœud ou fourni par son identifiant depuis une étape précédente, avec une expression du type {{ $json.field }}.
• Name : facultatif, le nom du rapport. Renseigne-le, sinon personne ne le retrouvera dans la liste.

Les rapports enregistrés s'accumulent, surtout ceux qu'un workflow a créés. Cette opération en supprime un dans Splunk et ne demande rien d'autre que le rapport visé, ce qui en fait le dernier nœud d'une branche de ménage plutôt qu'un workflow à part entière.

• Report : requis, le rapport à supprimer, sélectionné dans le nœud ou désigné par son identifiant via une expression.

Relire un rapport enregistré depuis un workflow, c'est le rôle de cette opération. Splunk renvoie ce rapport précis, et tout ce qui suit dans le workflow travaille sur ce retour.

• Report : requis, le rapport à récupérer, choisi dans la liste du nœud ou passé par identifiant, par exemple {{ $json.field }} quand un nœud précédent a déjà tranché.

Lister les rapports de recherche enregistrés donne au workflow une matière à parcourir. C'est de là que part presque toute la logique d'audit ou de nettoyage.

• Return All : coché, n8n enchaîne les pages de l'API et ramène tous les rapports ; décoché, il s'arrête à Limit.
• Limit : le nombre maximal de rapports renvoyés tant que Return All reste décoché.
• Add Orphan Field : ajoute à chaque recherche enregistrée un booléen indiquant si elle est orpheline, c'est-à-dire sans propriétaire valide.

Tout le reste de la ressource Search en dépend : l'opération envoie une requête et crée le job de recherche qui l'exécute sur l'instance.

• Query : requis, la requête à exécuter, écrite dans le Search Processing Language de Splunk. Le nœud montre la forme attendue, search index=_internal | stats count by source.
• Earliest Time et Latest Time : dans Additional Fields, les bornes de début et de fin de la recherche, incluses toutes les deux.
• Max Time : le nombre de secondes d'exécution avant finalisation. Mets 0 pour ne jamais finaliser.

Un job reste sur l'instance une fois terminé. Le supprimer, c'est le travail de cette opération, et un workflow qui tourne toutes les heures est précisément celui qui laisserait sinon une longue traînée derrière lui.

• Search Job : requis, le job à supprimer, choisi dans le nœud ou repris de l'étape qui l'a créé.

Cette opération récupère un job de recherche et le renvoie au workflow, sans demander les lignes qu'il a produites. C'est l'étape qu'on glisse entre la création d'un job et la demande de son résultat.

• Search Job : requis, le job à récupérer, sélectionné dans le nœud ou désigné par identifiant via une expression.

Plutôt qu'un job à la fois, celle-ci en renvoie plusieurs d'un coup. C'est la façon d'avoir une vue de ce qui traîne sur l'instance.

• Return All : ramène tous les jobs de recherche en parcourant les pages de l'API ; laissé décoché, le nœud s'arrête à Limit.
• Limit : le nombre de jobs renvoyés quand Return All est décoché.

Le résultat, c'est la raison d'être de la recherche. Cette opération le récupère depuis un job et le transforme en items que le workflow peut filtrer, router et écrire ailleurs.

• Search Job : requis, le job concerné, souvent celui créé juste avant, repris avec {{ $json.field }}.
• Return All et Limit : toutes les lignes, ou seulement les premières jusqu'à Limit.
• Key-Value Match : une paire clé-valeur à faire correspondre. Avec « Key » sur user et « Field » sur john, seuls les résultats où user vaut john sont renvoyés.
• Add Summary to Metadata : inclut les statistiques de synthèse des champs dans la réponse.

Ouvrir un compte Splunk depuis un workflow passe par cette opération, qui crée l'utilisateur sur l'instance avec les rôles dont il a besoin dès le premier jour.

• Name : requis, le nom de connexion de l'utilisateur.
• Roles : requis, les rôles à attribuer, choisis dans la liste ou fournis sous forme d'identifiants avec une expression.
• Password : requis.
• Email et Full Name : dans Additional Fields, l'adresse et le nom complet.

Un départ se termine par le compte lui-même, et cette opération le retire de Splunk. Un seul champ, aucune option : c'est cohérent pour une action sans retour en arrière.

• User : requis, le compte à supprimer, choisi dans le nœud ou transmis par identifiant depuis l'étape qui a repéré la personne sortante.

Un compte, une lecture. L'opération récupère un utilisateur dans Splunk et le renvoie, ce qui suffit à un workflow qui doit vérifier quelque chose sur une personne avant d'agir.

• User : requis, le compte à récupérer, sélectionné dans le nœud ou référencé par identifiant avec une expression.

Savoir qui a accès à l'instance revient à chaque revue, et cette opération y répond en renvoyant plusieurs utilisateurs en une exécution.

• Return All : tous les comptes de l'instance, page après page ; décoché, le nœud ne renvoie que les premiers.
• Limit : le plafond de comptes renvoyés quand Return All reste décoché. Sur une revue d'accès, le laisser en place, c'est finir avec une liste partielle et la certitude trompeuse d'un parc propre.

Les gens changent d'équipe et les rôles suivent : cette opération met à jour un compte existant au lieu de le recréer.

• User : requis, le compte mis à jour.
• Role Names or IDs : dans Update Fields, les rôles à attribuer, depuis la liste ou sous forme d'identifiants via une expression.
• Email, Full Name, Password : les autres champs de Update Fields, appliqués seulement s'ils sont renseignés.