12.2 Elasticsearchのインストールと設定

Elasticsearchと必要なプラグインをElasticsearchクラスタの各ノードにインストールする必要があります。

Elasticsearchをインストールし、設定するには次のようにします。

  1. ElasticsearchでサポートされているJDKバージョンをインストールします。

  2. Elasticsearch RPMの認定バージョンをダウンロードします。Elasticsearchの認定バージョンの詳細とダウンロードURLについては、『Technical Information for Sentinel』ページを参照してください。

  3. Elasticsearchをインストールします。

    rpm -i elasticsearch-<version>.rpm

  4. RPMのインストール後の手順として画面で説明されているタスクを完了します。

  5. ElasticsearchユーザがJavaにアクセスできることを確認します。

  6. 次の情報を更新または追加して、/etc/elasticsearch/elasticsearch.ymlファイルを設定します。

    プロパティと値

    備考

    cluster.name: <Elasticsearch _cluster_name>

    指定するクラスタ名は、すべてのノードで同じである必要があります。

    node.name: <node_name>

    ノード名は、各ノードで固有である必要があります。

    network.host: _<networkInterface>:ipv4_

     

    discovery.zen.ping.unicast.hosts: [<SentinelサーバのElasticsearchノードのFQDN>,<Elasticsearch node1のFQDN>, <Elasticsearch node2のFQDN>,以下同様]

     

    thread_pool.bulk.queue_size: 300

     

    thread_pool.search.queue_size: 10000

    検索キューのサイズがその制限に達すると、Elasticsearchではキュー内で保留中の検索要求が破棄されます。

    次の計算に基づき、検索キューのサイズを増やすことができます。threadpool.search.queue_size = 1ダッシュボードのユーザごとのウィジェットクエリの平均数x1日のインデックスごとのシャード数x日数(検索期間)

    index.codec: best_compression 

     

    path.data: ["/<es1>", "/<es2>"]

    データを複数の独立したディスクまたは場所に分散させ、ディスクI/Oのレイテンシを短縮します。

    Elasticsearchデータを格納するための複数のパスを設定します。たとえば、/es1、/es2などです。

    最高のパフォーマンスと管理性を得るため、それぞれのパスを個別の物理ディスク(JBOD)にマウントします。

  7. /etc/elasticsearch/jvm.optionsファイルにあるElasticsearchヒープのデフォルトサイズを更新します。

    ヒープサイズは、サーバメモリの50%である必要があります。たとえば、24GBのElasticsearchノードの場合、12GBをヒープサイズとして割り当てると、最適なパフォーマンスが得られます。

  8. Elasticsearchクラスタの各ノードで上記の手順をすべて繰り返します。

  9. SentinelサーバのElasticsearchノードで、/etc/opt/novell/sentinel/3rdparty/elasticsearch/elasticsearch.ymlを次のように設定します。

    1. elasticsearch.yml ファイル内のcluster.name値とdiscovery.zen.ping.unicast.hosts値が、外部Elasticsearchノードのelasticsearch.ymlファイルと同じであることを確認します。

    2. network.hostプロパティに、localhost IPアドレスに続けてローカルElasticsearchノードのIPアドレスを次のように指定します。

      network.host: ["127.0.0.1","<SentinelのElasticsearchノードのIPアドレス>"]

  10. (状況によって実行)従来のストレージを使用するSentinelの場合、/etc/opt/novell/sentinel/config/elasticsearch-index.propertiesファイルのServerListプロパティに、外部ElasticsearchノードのIPアドレスを追加します。

    例: ServerList=<Elasticsearch IP1>:<ポート>,<Elasticsearch IP2>:<ポート>

  11. Sentinelを再起動します。

    rcsentinel restart

  12. 各Elasticsearchノードを再起動します。

    /etc/init.d/elasticsearch start

  13. Sentinelサーバの最適なパフォーマンスと安定性のため、SentinelサーバのElasticsearchノードを専用のマスタ適格ノードとして設定し、すべてのイベント視覚化データが外部Elasticsearchノードでインデックス化されるようにします。

    1. Sentinelサーバにnovellユーザとしてログインします。

    2. 既存のすべてのアラートデータが外部Elasticsearchノードに移動したことを確認します。

    3. /etc/opt/novell/sentinel/3rdparty/elasticsearch/elasticsearch.ymlファイルを開き、次の情報を追加します。

      node.master: true 
node.data: false 
node.ingest: false 
search.remote.connect: false

    4. Elasticsearchを再起動します。

      rcsentinel stopSIdb

      rcsentinel startSIdb

  14. Elasticsearchにおけるデータのセキュリティ保護に従って手順を進めます。