Sentinelは、次の表で説明するElasticsearch設定を自動的に構成します。必要に応じて、Elasticsearch設定をカスタマイズできます。
デフォルトの設定をカスタマイズする方法:
従来のストレージの場合: /etc/opt/novell/sentinel/config/elasticsearch-index.propertiesファイルを開き、表に記されているプロパティを必要に応じて更新します。
スケーラブルストレージの場合: SSDMホームページで、［ストレージ］>［スケーラブルストレージ］>［詳細プロパティ］>［Elasticsearch］をクリックします。
表 12-1 Elasticsearchプロパティ
|
プロパティ |
デフォルト値 |
備考 |
|---|---|---|
|
elasticsearch.events.lucenefilter (オプション) |
|
インデックスを作成するため特定のイベントのみをElasticsearchに送信するためのフィルタを指定します。たとえば、sev:[3-5]という値を指定すると、重大度値が3から5のイベントだけがElasticsearchに送信されます。 |
|
index.fields |
id、dt、rv171、msg、ei、evt、xdastaxname、xdasoutcomename、sev、vul、rv32、rv39、rv159、dhn、dip、rv98、dp、fn、rv199、dun、tufname、rv84、rv158、shn、sip、rv76、sun、iufname、sp、iudep、rv198、rv62、st、tid、srcgeo、destgeo、obsgeo、rv145、estz、estzmonth、estzdiy、estzdim、estzdiw、estzhour、estzmin、rv24、tudep、pn、xdasclass、xdasid、xdasreg、xdasprov、iuident、tuident |
Elasticsearchでインデックスを作成するイベントフィールドを示します。 |
|
es.num.shards |
5 |
インデックスごとのプライマリシャード数を示します。 シャードサイズが50GBを超える場合は、このデフォルト値を大きくできます。 |
|
es.num.replicas |
1 |
各プライマリシャードに含める必要があるレプリカシャード数を示します。 フェールオーバーと高可用性を考慮し、少なくとも2ノードのクラスタをお勧めします。 |