了解 vRealize Log Insight 如何处理消息和事件对于有效使用 vRealize Log Insight 至关重要。

日志消息或事件的生命周期分为多个阶段,包括读取、分析、载入、编制索引、生成警示、查询应用程序、存档和删除。

事件和消息通过以下阶段进行转换。

  1. 在设备上生成事件(在 vRealize Log Insight 外部)。
  2. 选择事件并通过以下方法之一将事件发送到 vRealize Log Insight
    • 通过使用数据获取 API 或 syslog 的 vRealize Log Insight 代理
    • 通过使用 syslog 的第三方代理(例如 rsyslog、syslog-ng 或 log4j)
    • 以自定义方式写入到数据获取 API(如 log4j 附加程序)
    • 以自定义方式写入到 syslog(如 log4j 附加程序)
  3. vRealize Log Insight 接收事件。
    • 如果使用集成的负载均衡器 (Integrated Load Balancer, ILB),事件将传送到负责处理该事件的单个节点。
    • 如果拒绝了事件,客户端将通过 UDP 丢弃、具有协议设置的 TCP 或具有磁盘支持的队列的 CFAPI 处理拒绝问题。
    • 如果接受了事件,则会通知客户端。
  4. 通过 vRealize Log Insight 数据获取管道传送事件,将在其中执行以下步骤。
    • 创建或更新一个关键字索引。该索引以专有格式存储在本地磁盘上。
    • 将机器学习应用于集群事件。
    • 事件以压缩专有格式存储在本地磁盘上的段中。
  5. 查询事件。
    • 根据关键字索引匹配关键字和通配符匹配操作符查询。
    • 根据压缩事件匹配正则表达式。
  6. 将事件移至段并存档。
    • 段达到 0.5 GB 时,会被密封并存档。
  7. 删除事件。
    • 按 FIFO 顺序删除段。

了解详细信息

有关详细信息,请参见 VMware 技术出版物视频: