Debe instalar Elasticsearch en el modo de clúster para efectuar la indexación ampliable y distribuida de eventos. El clúster Elasticsearch que instale para Sentinel debe utilizarse para indexar solo datos de Sentinel.
Cumpla con los siguientes requisitos previos antes de instalar Elasticsearch:
Defina la memoria virtual añadiendo la siguiente propiedad en el archivo /etc/sysctl.conf:
VM.max_map_count=262144
Defina los descriptores de archivo añadiendo las siguientes propiedades en el archivo /etc/security/limits.conf:
elasticsearch hard nofile 65536
elasticsearch soft nofile 65536
Debe instalar Elasticsearch y los módulos auxiliares requeridos en cada nodo del clúster de dicho motor.
Para instalar y configurar Elasticsearch:
Instale la versión de JDK compatible con Elasticsearch.
Descargue la versión certificada de RPM de Elasticsearch. Para obtener información sobre la versión certificada de Elasticsearch y la URL de descarga, consulte la página de Información técnica de Sentinel.
Instale Elasticsearch:
rpm -i elasticsearch-<version>.rpm
Realice las tareas mencionadas en las instrucciones posteriores a la instalación de RPM.
Asegúrese de que el usuario de Elasticsearch tiene acceso a Java ejecutando el siguiente comando:
sudo –u elasticsearch java –version
Configure el archivo /etc/elasticsearch/elasticsearch.yml mediante la actualización o adición de la siguiente información:
|
Propiedad y valor |
Notas |
|---|---|
|
cluster.name: <Elasticsearch _cluster_name> |
El nombre del clúster que especifique debe ser el mismo para todos los nodos. |
|
node.name: <node_name> |
El nombre del nodo debe ser exclusivo para cada nodo. |
|
network.host: _<networkInterface>:ipv4_ |
|
|
discovery.zen.ping.unicast.hosts: ["<FQDN of elasticsearch node1>", "<FQDN of elasticsearch node2>", etcétera"] |
|
|
bootstrap.mlockall: true |
|
|
threadpool.bulk.queue_size: 300 |
|
|
threadpool.search.queue_size: 10000 |
Una vez que el tamaño de la cola de búsqueda alcance el límite, Elasticsearch descartará cualquier solicitud de búsqueda que haya pendiente en la cola. Puede aumentar el tamaño de la cola de la búsqueda en función del siguiente cálculo:threadpool.search.queue_size = Número medio de consultas de widget por usuario por consola x número de particiones (por índice de día) x número de días (duración de la búsqueda) |
|
index.codec: best_compression |
|
|
path.data: ["/<es1>", "/<es2>"] |
Distribuya los datos en varias ubicaciones o discos independientes para reducir la E/S del disco. Configure varias vías para almacenar los datos de Elasticsearch. Por ejemplo /es1, /es2 y así sucesivamente. Para obtener un mejor rendimiento y facilidad de gestión, monte cada vía en un disco físico independiente (JBOD). |
|
index.merge.scheduler.max_thread_count: 3 |
Las combinaciones que se ejecutan en hilos independientes en paralelo optimizan la velocidad de escritura en Elasticsearch. |
Actualice el tamaño de la pila de Elasticsearch predeterminado mediante la modificación de la propiedad ES_HEAP_SIZE en el archivo /etc/sysconfig/elasticsearch.
El tamaño de la pila debe ser el 50% de la memoria del servidor. Por ejemplo, en un nodo de Elasticsearch de 24 GB, asigne 12 GB a la propiedad ES_HEAP_SIZE para obtener un rendimiento óptimo.
Reinicie Elasticsearch:
/etc/init.d/elasticsearch restart
Descargue e instale el módulo auxiliar Delete-By-Query para que las directivas de retención de datos eliminen de forma efectiva los datos indexados cuando se apliquen las directivas de retención.
En entornos muy seguros donde no es posible descargar archivos directamente en el servidor, debe descargar manualmente el módulo auxiliar en un equipo que tenga acceso a Internet, copiar el archivo en nodos de Elasticsearch y, a continuación, instalar el módulo auxiliar.
Para obtener información sobre la instalación del módulo auxiliar Delete-By-Query, revise la documentación de Elasticsearch.
(Opcional) Instale el módulo auxiliar Elasticsearch Head para efectuar una supervisión básica del clúster de Elasticsearch.
Para obtener información acerca de cómo instalar el módulo auxiliar Elasticsearch Head, consulte la documentación del módulo auxiliar Elasticsearch Head.
Repita los pasos indicados anteriormente en cada nodo del clúster de Elasticsearch.