Azure Event Grid订阅配置Splunk Webhook端点验证失败，咨询正确流程

错误根源 #

你遇到的Url validation错误，核心原因是Azure Event Grid要求Webhook端点必须完成验证握手流程，但Splunk的HTTP Event Collector（HEC，即你使用的8088端口API）不支持Event Grid的验证机制，直接配置会导致握手失败。

正确配置步骤 #

不要直接将Splunk HEC URL作为Event Grid的Webhook端点，必须通过中间层（Azure Functions 或 Logic Apps）中转：

• 1. 创建Azure Function（HTTP触发类型）
  • 实现验证逻辑：收到Event Grid的GET验证请求时，提取validationCode参数，返回对应的validationResponse值，完成握手
  • 实现事件转发：接收Event Grid的POST事件数据，转换成Splunk兼容的JSON格式，调用Splunk HEC API发送数据
• 2. 将Azure Function的URL配置为Event Grid订阅的Webhook端点，此时验证会顺利通过
• 3. 确认Splunk端配置：确保HEC token有效、允许Azure Function的出站IP访问Splunk，且HEC已启用并配置了对应索引

Splunk 能否接收日志？ #

可以。通过中间层处理验证和格式转换后，Splunk能正常接收并处理Event Grid发送的事件/日志数据。

微软文档的适用性 #

你提到的那份通用Webhook接收文档不适用于直接对接Splunk，因为文档中的验证逻辑是针对自定义Webhook端点设计的，Splunk HEC不遵循该验证协议，无法直接套用。

内容的提问来源于stack exchange，提问作者Venkatesh