Para indexação escalável e distribuída de eventos, você deve instalar o Elasticsearch em modo de cluster. O cluster Elasticsearch instalado para o Sentinel deve ser usado para indexar somente dados do Sentinel.
Conclua os seguintes pré-requisitos antes de instalar o Elasticsearch:
Defina a memória virtual ao adicionar a seguinte propriedade no arquivo /etc/sysctl.conf:
vm.max_map_count=262144
Defina os descritores de arquivos ao adicionar as seguintes propriedades no arquivo /etc/security/limits.conf:
elasticsearch hard nofile 65536
elasticsearch soft nofile 65536
Você deve instalar o Elasticsearch e os plug-ins solicitados em cada nó do cluster do Elasticsearch.
Para instalar e configurar o Elasticsearch:
Instale a versão do JDK suportada pelo Elasticsearch.
Faça download da versão certificada do Elasticsearch RPM. Para obter informações sobre a versão certificada do Elasticsearch e o URL de download, consulte a página Technical Information for Sentinel (Informações técnicas do Sentinel).
Instale o Elasticsearch:
rpm -i elasticsearch-<versão>.rpm
Conclua as tarefas como mencionadas nas instruções pós-instalação do RPM.
Verifique se o usuário do Elasticsearch tem acesso ao Java executando o comando a seguir:
sudo –u elasticsearch java –version
Configure o arquivo /etc/elasticsearch/elasticsearch.yml atualizando ou adicionando a seguinte informação:
|
Propriedade e valor |
Notas |
|---|---|
|
cluster.name: <Elasticsearch _nome_do_cluster> |
O nome do cluster que você especifica deve ser o mesmo para todos os nós. |
|
node.name: <nome_do_nó> |
Cada nó deve ter um nome exclusivo. |
|
network.host: _<networkInterface>:ipv4_ |
|
|
discovery.zen.ping.unicast.hosts: ["<FQDN do nó1 elasticsearch>", "<FQDN do nó2 elasticsearch>" e assim por diante] |
|
|
bootstrap.mlockall: true |
|
|
threadpool.bulk.queue_size: 300 |
|
|
threadpool.search.queue_size: 10000 |
Uma vez que o tamanho da fila de pesquisa atinge seu limite, o Elasticsearch descarta todos os pedidos de pesquisa pendentes na fila. É possível aumentar o tamanho da fila de pesquisa com base no cálculo abaixo: threadpool.search.queue_size = Número médio de consultas de barra de rolagem por usuário para um painel de controle X número de fragmentos (por índice de dia) X número de dias (duração da pesquisa) |
|
index.codec: best_compression |
|
|
path.data: ["/<es1>", "/<es2>"] |
Distribua dados em vários discos ou locais independentes para redução de E/S de disco. Configure vários caminhos para armazenar dados do Elasticsearch. Por exemplo /es1, /es2 etc. Para obter melhor desempenho e gerenciabilidade, monte cada caminho em um disco físico separado (JBOD). |
|
index.merge.scheduler.max_thread_count: 3 |
A execução mesclada em segmentos separados em paralelo otimiza a velocidade de gravação no Elasticsearch. |
Atualize o tamanho padrão do heap do Elasticsearch modificando a propriedade ES_HEAP_SIZE no arquivo /etc/sysconfig/elasticsearch.
O tamanho do heap deve ser 50% da memória do servidor. Por exemplo, em um nó do Elasticsearch de 24 GB, aloque 12 GB na propriedade ES_HEAP_SIZE para obter um desempenho ideal.
Reinicie o Elasticsearch:
/etc/init.d/novell-pbserv restart
Faça download e instale o plug-in Delete-By-Query para que as políticas de retenção de dados efetivamente apaguem dados indexados ao serem aplicadas.
Em ambientes altamente protegidos, nos quais não é possível fazer download de arquivos diretamente para o servidor, você deve manualmente fazer o download do plug-in em um computador com acesso à Internet, copiar o arquivo para nós do Elasticsearch e, então, instalar o plug-in.
Para obter mais informações sobre como instalar o plug-in Delete-By-Query, consulte a documentação do Elasticsearch.
(Opcional) Instale o plug-in Elasticsearch Head para executar monitoramento básico do cluster do Elasticsearch.
Para obter mais informações sobre como instalar o plug-in Elasticsearch Head, consulte a documentação do plug-in Elasticsearch Head.
Repita todas as etapas acima em cada nó do cluster do Elasticsearch.