Graylog配置日志保留策略

? ? ? ? 找了半天没找到说的清楚的，只能抠官方文档

? ? ? ? graylog的归档（日志持久化）只有付费版才能用，所以日志只能存在es中

1.理解官方给出的几个概念

????????轮转策略 (Index Rotation Strategy): 轮转策略定义了何时创建新的索引以及何时关闭旧的索引。Graylog 支持以下几种轮转策略：

• Size-based: 按照索引的大小进行轮转。可以设置每个索引的最大大小，当索引大小达到该阈值时，会创建一个新的索引。

• Time-based: 按照时间进行轮转。可以设置索引的生命周期，例如每天创建一个新索引，每周创建一个新索引，等等。

• Message count-based: 按照日志消息数量进行轮转。当索引中的消息数量达到一定阈值时，会创建一个新的索引。

????????最大索引数 (Max Indices): 最大索引数定义了 Graylog 允许存在的索引的最大数量。一旦达到最大索引数，Graylog 将开始删除最早的索引，以确保索引数量保持在设定的范围内。

2.配置索引的保留策略

????????System -> Indices ->?Index Set

????????在 "Indices" 选项卡下，选择你想要配置保留策略的 Index Set

????????点击选中的 Index Set 后面的 "Edit" 按钮。

????????在 Index Set 编辑页面，找到 "Retention strategy" 部分。

????????在这里，你可以选择不同的保留策略，如按时间、文档数量等。常见的保留策略包括：

• Time-based:
• "Max number of indices"：定义 Graylog 将保留的索引的最大数量。
• "Max number of documents"：定义每个索引保留的最大文档数。
• "Max age of indices"：定义索引的最大存储时间。
• Size-based:
• "Max size of indices"：定义 Graylog 将保留的索引的最大存储大小。

保存更改:

完成配置后，确保保存更改。