Журналы событий
Платформа осуществляет логирование или сбор записей о событиях в соответствующие журналы (журналирование событий).
Поскольку Платформа представляет собой распределённую систему, состоящую из множества компонентов, то журналы (логи) могут храниться в разных файлах и даже на разных серверах.
Основные лог-файлы хранятся в директории /var/log/infra (на управляющих и вычислительных узлах). В директории /var/log/infra-latest находится символическая ссылка на последний лог-файл из директории /var/log/infra.
Все журналы собираются с использованием Fluentd в OpenSearch подсистемы логирования. В качестве интерфейса для централизованной обработки и анализа записей о событиях используется Портал логирования (OpenSearch Dashboards).
Портал логирования позволяет оперировать поисковыми запросами, поддерживающими синтаксис Apache Lucene. Для получения нужных событий используется инструмент поиска: сформируйте запрос, состоящий из нескольких слов или включающих условия, разделённые ключевыми словами (AND / OR); текст необходимо заключать в двойные кавычки (" "). Далее приведены примеры настроек поиска для отображения основных типов событий безопасности.
Для поиска информации в Портале логирования:
-
Перейдите в раздел «OpenSearch Dashboards» → «Discover».
-
Введите поисковый запрос, используя инструмент поиска (см. рисунок 1).
Рисунок 1 — Инструмент поиска -
Нажмите клавишу ENTER для запуска поиска.
Результаты поиска отображаются ниже в виде списка.
Для получения полной информации о событии, включая представление в виде JSON, нажмите на треугольник слева от результата запроса.
Если в результате выполнения запроса не обнаружены записи о событиях, попробуйте увеличить интервал времени для поиска событий.
Для использования индексов в процессе поиска данных используйте выпадающий список, расположенный под кнопкой «Add a filter».
В Платформы после развёртывания доступны следующие индексы:
*_cinder-*— отражает события, связанные с работой компонента Cinder (резервное копирование).filebeat-7.8.0-20*— индекс, создаваемый по умолчанию (см. официальную документацию); отображает события по всем компонентам в Kubernetes.filebeat-*— отображает события по всем компонентам Платформы (с хостов и Kubernetes); включает в себя данные по индексуfilebeat-7.8.0-20*.*_glance-*— отражает события, связанные с работой компонента Glance (работа с образами).*_haproxy-*— события компонента HAProxy (балансировка нагрузки).*_heat-*— события компонента Heat (оркестрация).*_iam-*— события компонента IAM (биллинг, ролевая модель).*_keystone-*— события компонента Keystone (аутентификация).*_magnum-*— события компонента Magnum (оркестрация контейнеров).*_neutron-*— события компонента Neutron (сети).*_nova-*— события компонента Nova (виртуализация).*_scrooge-*— события компонента Scrooge (биллинг и квоты).*_trove-*— события компонента Trove (инстансы СУБД).