graylog 6版後的index rotation改成了另一種方式

原本是設定

Max. days in storage 

180

Min. days in storage

60

主觀認知是能查到60天內的資料 超過60天系統會封存 但應該還是能查到

但事實上超過60天就查不到資料了

為了符合法規規定 所以現在改成

Max. days in storage 

181

Min. days in storage

180

覺得舊版的方式比較好 

能自己決定几天後就把 index close

然後再看狀況手動去砍

認真查了一下才發現graylog現在分成了三個版本

open的這個版本現在大幅減少支援的功能

為了解決以上的問題

看來只能定期手動或用crontab去close index

shell 如下

for i in {171..180}

do

        echo $i

        curl -u use:passwd -XPOST "http://10.0.0.1:9200/graylog_$i/_close"

done

目前觀察大約是每二天會 index rotate 一次 

需要查詢舊資料時再打開

curl -v -X POST -H "Content-Type: application/json" -H "X-Requested-By: XMLHttpRequest" -u user:passwd http://10.0.0.1:9000/api/system/indexer/indices/graylog_245/reopen

https://graylog.org/post/understanding-data-tiering-in-60-seconds/

https://graylog.org/pricing/

今天因為長官的命令有需求要撈graylog的舊資料

目前是設定60天後的index會自動關起來

在之前的版本如果要查舊資料

要先把index open 後 再 recalculate 才能查

但今天下指令跟在管理介面打開

在管理介面上出現的畫面不同

下指令的不會出現reopened

而且過沒多久就會自動再變成close

從管理介面操作的就會出現綠色的reopened 而且不用再 recalculate 就能直接查資料了

不過如果要打開很多index 就要一個一個點 有點麻煩

不知道有沒有其他指令能做到