Es gibt zwei Arten von Datenspeichern in einer vCenter Log Insight Appliance. Die “Indexed data”, die online verfügbar sind und die “Archived data”, die nur offline zur Verfügung stehen. Was genau ist der Unterschied:
Indexed data
Diese Daten liegen direkt in der vCenter Log Insight Appliance vor. Gespeichert werden sie im VMDK.
Diese Daten lassen sich durchsuchen und können analysiert werden. Der Lifecycle dieser Daten wird direkt in der Appliance verwaltet.
Archived data
Diese Daten liegen extern auf einem NFS Server.
Man kann die Daten wieder durchsuchen noch analysieren. Dafür müssen Sie wieder importiert werden.
Beim ablegen werden die Daten komprimiert und benötigen nur noch ca. 1/10 der original Größe.
Als Administrator bekommt man keine Benachrichtigung wenn der Speicherplatz auf dem NFS Volume voll läuft.
Archivierte Daten wieder indizieren
Es gibt keinen automatischen Prozess wie bereits archivierte Daten zurück in die Appliance geholt werden können. Wenn man doch einmal archivierte Daten analysieren möchte, sollte man eine komplett neue Appliance deployen. Es ist nicht empfohlen in einer Appliance archivierte und online Daten zu mischen.
Die neue Appliance sollte keine Syslog Clients haben. Via ssh oder Konsole können die Daten wie folgt eingebunden werden:
mkdir /mnt/my-archive
mount -t nfs your-nfs-server:/path/to/the/archives /mnt/my-archives
/usr/lib/loginsight/application/bin/loginsight repository import /mnt/my-archives
Damit stehen die archivierten Daten zur Analyse zur Verfügung.