IBM Support

QRadar: なぜ 1 つのイベントプロセッサーに加わった複数のデータ・ノードが同じ量のストレージを使用していないのでしょうか？

Question & Answer


Question

なぜデータ・ノードが同じ割合でストレージを使用していないのでしょうか ?

Cause

  1. QRadar ユーザー・インターフェースにログインします。
  2. 左上のメニュー( Ξ ) > 「管理」タブ > 「システムおよびライセンス管理」の順にクリックします。
  3. データ・ノードが接続されているイベント・プロセッサーを選択します。
  4. 「アクション」タブ > 「システムの表示と管理」の順にクリックします。
  5. 「セキュリティー・データの分布」タブをクリックして、データ・ノード・バランスのステータスを確認します。

確認結果: 全てのデータ・ノードで同じストレージを使用するとは限りません。これは仕様です。

Answer

例として、 DN01 と DN02 がほぼ同じ使用容量で DN03 がさらに 18% 多いことを考慮すると、ロード・バランスは下記のように解釈できます。
  1. QRadar が使用する分散アルゴリズムは、最も多く使用可能なストレージを持つ特定のデータ・ノード・アプライアンスへ偏向されます。もしメンテナンスのためにアプライアンスの電源をオフにして、その後オンラインに戻る際に、分散アルゴリズムがより多くの使用可能なディスク・スペースがあるアプライアンスに対して、データを転送させ起動します。その際、データの再調整処理は行われません。
  2. 時間が経過し、他のデータ・ノード上のストレージが少なくなるにつれ、分散アルゴリズムはデータ・ノードの全体的なバランスをとります。
  3. EP01 、 DN01 、および DN02 はすべて同じ日に追加され、 DN03 は後に追加されました。 DN03 を追加する時に初期のリバランスが発生し、分散アルゴリズムが時間とともに実施されます。最初のバランスが DN03 で発生している間は、 DN01 および DN02 が長期間停止する可能性があります。これは DN03 のデータ使用率が高いことを示しています。
結果: データ使用率は 1 対 1 ではありませんが、分散アルゴリズムはデータ使用率の増加に応じて、最終的にデータ・ノードのバランスをとります。
           これは仕様上の機能であり、懸念する必要はありません。
 

[{"Product":{"code":"SSBQAC","label":"IBM Security QRadar SIEM"},"Business Unit":{"code":"BU059","label":"IBM Software w\/o TPS"},"Component":"General Information","Platform":[{"code":"PF016","label":"Linux"}],"Version":"7.2;7.3","Edition":"","Line of Business":{"code":"LOB24","label":"Security Software"}}]

Document Information

Modified date:
31 August 2020

UID

ibm15862279

Page Feedback