Pour l'indexation distribuée et évolutive des événements, vous devez installer Elasticsearch en mode grappe. La grappe Elasticsearch que vous installez pour Sentinel doit être utilisée pour indexer uniquement les données Sentinel.
Veillez à respecter les conditions préalables suivantes avant d'installer Elasticsearch :
Définissez la mémoire virtuelle en ajoutant la propriété suivante au fichier /etc/sysctl.conf :
vm.max_map_count=262144
Définissez les descripteurs de fichier en ajoutant les propriétés suivantes au fichier /etc/security/limits.conf :
elasticsearch hard nofile 65536
elasticsearch soft nofile 65536
Vous devez installer Elasticsearch et les plug-ins requis sur chaque nœud de la grappe Elasticsearch.
Pour installer et configurer Elasticsearch, procédez comme suit :
Installez la version JDK prise en charge par Elasticsearch.
Téléchargez la version certifiée du RPM Elasticsearch. Pour plus d'informations sur la version certifiée d'Elasticsearch et l'URL de téléchargement, reportez-vous à la page Technical Information for Sentinel (Informations techniques pour Sentinel).
Installez Elasticsearch :
rpm -i elasticsearch -<version>.rpm
Effectuez les tâches, comme indiqué dans les instructions de post-installation de RPM.
Vérifiez que l'utilisateur d'Elasticsearch a accès à Java en exécutant la commande suivante :
sudo –u elasticsearch java –version
Configurez le fichier /etc/elasticsearch/elasticsearch.yml en mettant à jour ou en ajoutant les informations suivantes :
|
Propriété et valeur |
Remarques |
|---|---|
|
cluster.name: <nom_grappe_Elasticsearch> |
Le nom de grappe que vous spécifiez doit être identique pour tous les nœuds. |
|
node.name: <nom_nœud> |
Le nom de nœud doit être unique pour chaque nœud. |
|
network.host: _<InterfaceRéseau>:ipv4_ |
|
|
discovery.zen.ping.unicast.hosts: ["<FQDN nœud1 Elasticsearch>", "<FQDN nœud2 Elasticsearch>", etc."] |
|
|
bootstrap.mlockall: true |
|
|
threadpool.bulk.queue_size: 300 |
|
|
threadpool.search.queue_size: 10000 |
Lorsque la taille de la file d'attente des recherches a atteint sa limite, Elasticsearch ignore les requêtes de recherche placées en file d'attente. Vous pouvez augmenter la taille de la file d'attente pour les recherches à l'aide du calcul suivant : threadpool.search.queue_size = nombre moyen de requêtes widget par utilisateur pour un tableau de bord x nombre de partitionnements (par index quotidien) x nombre de jours (durée de la recherche) |
|
index.codec: best_compression |
|
|
path.data: ["/<es1>", "/<es2>"] |
Répartissez les données entre plusieurs emplacements ou disques indépendants afin de réduire les E/S du disque. Configurez plusieurs chemins d'accès au stockage des données Elasticsearch. Par exemple /es1, /es2, etc. Pour optimiser les performances et faciliter la gestion, montez chaque chemin sur un disque physique distinct (JBOD). |
|
index.merge.scheduler.max_thread_count: 3 |
Les fusions exécutées en parallèle sur des threads distincts optimisent la vitesse d'écriture sur Elasticsearch. |
Mettez à jour la taille par défaut du segment de mémoire Elasticsearch en modifiant la propriété ES_HEAP_SIZE dans le fichier /etc/sysconfig/elasticsearch.
La taille du segment de mémoire doit correspondre à 50 % de la mémoire du serveur. Par exemple, sur un nœud Elasticsearch de 24 Go, allouez 12 Go à la propriété ES_HEAP_SIZE afin d'obtenir des performances optimales.
Redémarrez Elasticsearch :
/etc/init.d/elasticsearch restart
Téléchargez et installez le plug-in Delete-By-Query pour les stratégies de conservation des données afin de supprimer efficacement les données indexées lors de l'application des stratégies de conservation.
Dans des environnements hautement sécurisés pour lesquels vous n'êtes pas autorisé à télécharger des fichiers directement sur le serveur, téléchargez manuellement le plug-in sur un ordinateur ayant accès à Internet, copiez le fichier sur les nœuds Elasticsearch, puis installez le plug-in.
Pour plus d'informations sur l'installation du plug-in Delete-By-Query, reportez-vous à la documentation d'Elasticsearch.
(Facultatif) Installez le plug-in elasticsearch-head pour effectuer la surveillance de base de la grappe Elasticsearch.
Pour plus d'informations sur l'installation du plug-in elasticsearch-head, reportez-vous à la documentation du plug-in elasticsearch-head.
Répétez toutes les étapes ci-dessus sur chaque nœud de la grappe Elasticsearch.