Splunk MCP WebUI

MCP (Model Context Protocol) server cho Splunk — dựa trên các tool của Splunk MCP Server chính hãng, nhưng:

Chỉ cần Splunk Web mở được là dùng được — không cần port quản trị 8089, không cần token, không cần cài app lên Splunk.

Các tool

Related MCP server: Splunk MCP Server

Cài đặt

git clone https://github.com/MysticCoss/splunk-mcp-webui
cd splunk-mcp-webui
pip install -r requirements.txt

Hoặc cài như package: pip install git+https://github.com/MysticCoss/splunk-mcp-webui — sau đó chạy bằng lệnh splunk-mcp-webui.

Cấu hình

Copy config.example.json thành config.json rồi sửa. Client tìm config theo thứ tự:

1. Đường dẫn trong biến môi trường SPLUNK_MCP_CONFIG (nếu đặt)

2. config.json cạnh thư mục splunk_mcp_webui/ (khi clone repo)

3. ~/.splunk-mcp/config.json (tiện khi cài bằng pip install git+... — không có thư mục project)

{
  "splunk_url": "https://splunk-cua-ban",
  "username": "admin",
  "password": "mat-khau"
}

config.json chứa credential thật nên đã bị .gitignore loại khỏi repo — chỉ commit config.example.json.

Các key tùy chọn (đều có giá trị mặc định, không cần khai báo):

SSL self-signed

Mặc định client chấp nhận mọi chứng chỉ SSL — kể cả self-signed, cert nội bộ hay cert tự ký của Splunk:

{
  "verify_ssl": false
}

Đây là giá trị mặc định, không cần khai báo trong config.json. Chỉ khi muốn xác thực chứng chỉ nghiêm ngặt thì mới đặt true, hoặc trỏ tới CA bundle nội bộ (hỗ trợ cert CA riêng của công ty):

{
  "verify_ssl": "C:\\certs\\corp-ca.pem"
}

Đó là tất cả. Mọi thứ khác tự xử lý: tự detect http/https, locale (en-US...), session cookie, CSRF form-key, tự re-login khi session hết hạn, SSL self-signed được tự động chấp nhận.

splunk_url chấp nhận mọi dạng: splunk.corp.local, 10.0.0.5:8000, http://10.0.0.5:8000, https://splunk.corp.local:8000/en-US. Mật khẩu có thể đặt qua biến môi trường SPLUNK_URL / SPLUNK_USERNAME / SPLUNK_PASSWORD (ghi đè file) để không lưu plain-text. Đường dẫn config khác: SPLUNK_MCP_CONFIG. ⚠️ Khi splunk_url ghi rõ https://, client không bao giờ tự hạ cấp xuống HTTP — handshake TLS hỏng sẽ báo lỗi thay vì gửi mật khẩu plaintext.

Bảo mật — dùng tài khoản quyền tối thiểu

read_only: true (mặc định) chặn các lệnh sửa dữ liệu (delete, outputlookup, mcollect, dump, script, map, savedsearch, macro...) — nhưng đây là lớp bảo vệ best-effort, không thay thế phân quyền của Splunk. Hãy tạo account MCP riêng với quyền tối thiểu:

• Không có capability can_delete

• Không có quyền list_storage_passwords (tránh lộ mật khẩu đã lưu qua lệnh rest)

• Giới hạn srchIndexesAllowed đúng các index cần đọc

• Giới hạn srchJobsQuota và srchTimeWin (cửa sổ thời gian tìm kiếm)

Ngoài ra lưu ý: nội dung log (có thể chứa PII/dữ liệu nhạy cảm) sẽ được gửi tới nhà cung cấp LLM qua MCP client — cân nhắc khi dùng với dữ liệu SOC nội bộ.

SSO/SAML: login đi qua form local-credential (loginType=splunk) nên hoạt động trên instance bật SSO (kể cả Azure AD). Tuy nhiên account phải dùng xác thực local (username/password) — SAML-only/MFA-only không dùng được.

Kiểm tra kết nối trước khi dùng

python tests\test_real.py

Đăng ký vào MCP client

Claude Code

claude mcp add splunk-webui -s user -- python C:\duong\dan\splunk-mcp-webui\run.py

• -s user: cài cấp user, dùng được cho mọi project trên máy. Bỏ tham số này thì chỉ áp dụng cho project hiện tại.

• Kiểm tra: mở Claude Code, gõ /mcp — phải thấy splunk-webui kèm 6 tool.

Claude Desktop / opencode

Thêm vào file cấu hình MCP của client:

{
  "mcpServers": {
    "splunk-webui": {
      "command": "python",
      "args": ["C:\\duong\\dan\\splunk-mcp-webui\\run.py"]
    }
  }
}

Chạy trực tiếp (stdio): python run.py hoặc python -m splunk_mcp_webui.

Cách hoạt động

MCP client ──stdio──> run.py ──HTTP──> Splunk Web (port 8000)
                         │ 1. GET  /en-US/account/login        → cookie + CSRF
                         │ 2. POST /en-US/account/login        → session cookie
                         │ 3. POST /en-US/splunkd/__raw/services/search/jobs  → tạo job
                         │ 4. GET  /en-US/splunkd/__raw/services/search/jobs/{sid} → poll
                         │ 5. GET  .../{sid}/results           → kết quả JSON

Không dùng port 8089 — mọi REST call đi qua proxy splunkd/__raw/ của chính Splunk Web (giống hệt khi bạn mở Search & Reporting trên trình duyệt).

Test offline (không cần Splunk thật)

python tests\test_offline.py       # 46 test: login cũ/mới, CSRF, guard, timeout, SSL fallback, concurrency...
python tests\test_config.py        # 12 test: validation config, env override, fail-loud
python tests\test_mcp_server.py    # test 6 tool qua giao thức MCP

License: MIT (xem LICENSE).

Thư mục ref\ (bản giải nén app MCP chính hãng làm tham chiếu schema) không được commit vào repo — tham khảo splunk-mcp-server_200.tgz từ SplunkBase nếu cần.