IBM Support

QRadar: イベントプロセッサに紐づく複数のデータ・ノードのストレージが同じ容量使用されていないのはなぜですか？

Question & Answer


Question

データ・ノードのストレージが同じ容量使用されていないのはなぜですか？

Cause

  1.  QRadar ユーザー・インターフェースにログインします。
  2. 「管理」タブの「システムとライセンスの管理」をクリックします。
  3.  データ・ノードが接続されているイベント・プロセッサーをクリックします。
  4. 「アクション」>「システムの表示および管理」をクリックします。
  5. 「セキュリティー・データ配布」タブを使用して、データ・ノードの残量の状況を確認してください。

結果: すべてのデータ・ノードが必ずしも同じストレージ容量を使用していない場合がありますが、これは予期されていることです。

Answer

DN01 と DN02 の容量がほぼ同じで、DN03 の使用量が 18 % 多いことを考慮してロードバランスをどう解釈するか。
  1.  QRadar が使用する分散アルゴリズムは、より多くの使用可能なストレージを持つ特定のデータ・ノード・アプライアンスに偏っています。 保守のためデータ・ノードの電源をオフにした場合、アプライアンスをオンラインに戻すと、分散アルゴリズムが起動して、使用可能なスペースがあれば、そのアプライアンスに向けてより多くのデータが経路指定されます。このシナリオでは、データの再調整の処理は行われません。
  2. 時間が経過し、他のデータ・ノードのストレージが少なくなるにつれて、分散アルゴリズムはすべてのデータ・ノードにわたってデータを均等にバランスさせます。
  3.  EP01 、 DN01 、および DN02 はすべて同じ日に追加されました。 DN03 はずっと後に追加されました。 DN03 を追加すると最初に再調整が行われ、その後分散アルゴリズムは徐々に実行されます。最初の調整が DN03 で発生している間は、 DN01 と DN02 で長期停止が発生する可能性があります。これは DN03 の使用率が高くなっているためです。
結果： 使用率は 1 対 1 ではありませんが、使用率が増加するにつれて、分散アルゴリズムは最終的にデータ・ノードのバランスを取ります。これは設計どおりに機能しているため、心配する必要はありません。

QRadar に関する情報は以下のリンクからも確認できますのでご参照ください。

[{"Product":{"code":"SSBQAC","label":"IBM Security QRadar SIEM"},"Business Unit":{"code":"BU059","label":"IBM Software w\/o TPS"},"Component":"General Information","Platform":[{"code":"PF016","label":"Linux"}],"Version":"7.2;7.3","Edition":"","Line of Business":{"code":"LOB24","label":"Security Software"}}]

Document Information

Modified date:
26 April 2019

UID

ibm10880839

Page Feedback