存档

EventLog Analyzer处理的日志文件会定期归档，以满足内部、取证及合规性审计需求。您可根据需求配置以下选项：

• 归档间隔
• 需归档的日志类型
• 归档文件的存储位置
• 保留期限

归档文件可加密并添加时间戳，确保其安全且防篡改。

如何查看归档日志？

要查看归档日志数据，请在事件日志分析器中转到“设置”选项卡，然后导航至“管理设置”>“数据存储”>“归档”。

归档日志页面包含以下信息：

• 设备- 正在收集日志的设备列表
• 格式- 设备类型
• 起始与 结束时间- 该时间段表示EventLog Analyzer收集并归档日志的时间范围。
• 大小- 每个设备收集的归档日志数据的大小。
• 完整性- 归档文件的完整性状态（完好无损或遭篡改）通过以下状态表示：
• 已验证- 归档日志完整无损。
• 归档文件缺失- 压缩/打包过程中未找到平面文件。
• 归档文件未找到- 当归档文件在数据库原始存储位置不可用时。
• 归档文件遭篡改- 原归档文件被外部编辑/部分内容被删除时。
  注意：若文件被删除或篡改，系统将立即发送含"归档文件遭篡改"提示的邮件通知。
• 归档文件可用- 当归档完整性检查功能禁用时，已验证文件与遭篡改文件均显示此状态。
• 归档文件不可用- 当归档完整性检查被禁用且归档文件缺失或未在原始位置找到时，将显示此状态。
• 访问被拒绝- 当无法访问存储归档文件的远程位置时
• 连接失败- 因网络连接问题无法访问存储归档文件的Amazon S3存储桶
• 归档状态通过以下四种状态显示：
• 已加载- 归档文件已加载至数据库。点击查看可查看文件
• 数据已可用- 若归档文件存在于Elasticsearch数据库中
• 数据部分可用- 部分归档数据已存在于Elasticsearch数据库中
• 未加载- 归档文件未存在于Elasticsearch数据库中
• 文件尚未上传- 归档文件未传输至指定zip位置

如何查看特定归档文件？

• 要查看特定归档文件，请点击对应设备的复选框。
• 要查看特定时间段内归档的日志文件，请点击页面右上角的日历图标并选择所需时间段。

如何筛选并查看一组归档文件？

若需按归档数据的大小或状态查看文件，请点击"大小"或"状态"旁的筛选图标并设置相应值。系统将根据指定条件进行筛选。

如何排序归档文件列表？

点击设备/来源/目标列旁的下拉图标，可按该列值升序排序列表。再次点击则转为降序排序。

如何加载归档文件？

要加载归档文件，请进入EventLog Analyzer的设置页面，导航至管理设置 > 数据存储 > 归档文件

1. 检查设备对应归档文件的状态。若显示为未加载，请点击加载归档按钮将文件加载至数据库。
2. 当文件状态变为已加载后，点击对应的查看按钮即可浏览文件。

注意：存储在共享存储和S3存储桶中的归档文件将下载至本地存储并启动加载流程。

注意：卸载文件时，请选中目标文件并点击"卸载归档"按钮。

注意：若文件状态显示为"数据部分可用"，此时继续加载归档文件可能导致数据重复。

如何删除归档文件？

要删除归档文件，请转到 EventLog Analyzer 中的“设置”页面，然后导航至“管理设置”>“数据存储”>“归档”。

1. 通过勾选对应复选框选择要操作的归档文件。
2. 点击删除图标即可清除归档文件。

如何配置基于组/设备的归档设置？

要配置归档设置，请点击屏幕右上角的“设置”。

配置归档间隔、保留期限、加密方式、归档文件时间戳、归档文件及索引文件的存储位置。

注意：归档与数据库存储为异步操作，两者互不影响。

配置云账户：

1. 请确保归档功能处于启用状态（默认开启）。使用切换按钮可禁用归档功能。
2. 设置归档文件的保留期限。默认值为永久保留。
3. 日志可采用两种格式归档：带解析字段的原始日志与纯原始日志。选择前者将存储元数据，选择后者则不包含元数据。
   注意： 纯原始日志占用存储空间较少，但仅能生成基础报表。
4. 在"临时文件位置"字段中输入平面文件存储路径。点击"验证"确认路径有效性。

   注意：默认设置为本地路径以实现最佳性能。

5. 在归档压缩位置字段中输入归档文件的存储位置。
1. 本地- 若需将归档文件存储于本地位置，请从下拉菜单选择"本地"并输入存储路径
2. 共享- 存储于共享位置时，请从下拉菜单选择"共享"并输入存储路径
• 勾选身份验证复选框时，需输入访问共享位置的凭据。取消勾选则允许所有共享访问者访问该路径。
• 请确保远程机器可用，且具备共享目录的读写权限。
3. S3存储桶- 选择下拉菜单中的"S3存储桶"并输入文件夹名称。默认文件夹名为"AwsArchive"
1. 云账户- 显示已配置的云账户。从下拉菜单中选择对应云账户。若需配置云账户，请点击"配置云账户" - 此操作将配置不含云试用的AWS账户。如需配置含云试用的账户，请参阅此文档。

注意：仅通过"域与账户"或"归档"配置的云账户可在此处列出

2. 存储桶- 显示关联至相应云账户的已配置存储桶。从下拉菜单中选择目标存储桶。请确保存储桶具备充分权限。创建新存储桶时，请在输入框中填写桶名并点击"+"图标。默认存储桶类型为通用型，且位于主区域。 确保桶名称遵循命名规范规则。若需加密存储于这些桶中的归档数据，请确保桶具备"启用桶密钥"权限。创建桶时默认禁用KMS密钥。授予权限路径：Amazon S3 → 桶 → (桶名称) → 属性 → 默认加密 → 桶密钥



3. 存储类型- 显示 S3 存储类别。默认使用的存储类型为S3 标准存储，该类型免费。但其他存储类型会根据实际存储量计费。AWS 存储定价与权限
4. S3加密- 显示存储桶的加密方式。默认加密为Amazon S3托管密钥（SSE-S3）作为基础加密层级。

若已存在相应KMS密钥，可配置AWS密钥管理服务（AWS KMS）及基于AWS KMS密钥的双层服务器端加密（DSSE-KMS）。若无可用密钥，可在AWS控制台生成KMS密钥。

创建 KMS 密钥：

1. AWS控制台 → 服务 → 所有服务 → 密钥管理服务 → 创建密钥。

   

权限：

• 为列出云账户配置的KMS密钥，需向IAM用户授予"kms:ListKeys"策略权限。
• 若需使用KMS密钥加密归档，请为您的KMS密钥（密钥ARN）授予"kms:GenerateDataKey"策略权限。KMS密钥权限配置请参阅此文档

定价：

使用 S3 存储桶默认加密功能无需额外付费

对于SSE-KMS和DSSE-KMS，需支付AWS KMS费用，具体价格请参阅AWS KMS定价页面。

6. 为保障归档日志安全，请启用平面文件加密功能（默认禁用）。
7. 输入已加载归档文件的日志保留周期。默认周期为7天。
8. 点击“高级”并填写以下字段：
1. 选择文件创建的时间间隔。日志将在指定时间段内写入平面文件。

注意：默认间隔为8小时。

2. 选择创建zip文件所需的时间间隔。平面文件将按40:1压缩率进行压缩，并在指定时间段生成zip文件。

注意：默认间隔为1天。

3. 如需启用归档时间戳功能，默认处于禁用状态。
4. 周期性归档完整性检查默认处于启用状态。

注意：默认间隔为1天。

9. 保存设置并关闭窗口。如需即时归档，请点击“压缩创建间隔”旁的“立即压缩”按钮。

注意：文件将在本地压缩后传输至目标位置，因此需额外磁盘空间。请确保系统存储空间充足（大小）。如需了解本地存储所需磁盘空间，请参照调优指南进行计算。

点击右上角"创建新策略"配置多项归档设置。

附加配置 - 选择需应用策略的设备/组。

如何查看已配置策略？

点击屏幕右上角的“设置”。这将进入归档设置页面，其中包含所有已配置策略。

• 策略名称- 指定策略名称。
• 归档位置- 显示策略的压缩文件存储路径。
• 设备/组- 显示策略中添加的所有设备和组。
• 大小- 策略中所有已添加设备/组的归档总容量。
• 保留期限- 策略的日志保留时长。
• 状态- 显示归档状态，状态为成功或归档已禁用。

将鼠标悬停在策略上点击编辑按钮，即可修改配置设置。

您也可在存档设置页右上角点击"创建新策略"按钮添加新策略。

如何修改策略优先级？

要更改策略的优先级，请点击“优先级策略”，通过拖放操作重新排列策略，然后保存。

注意：若某设备/组被添加到多个策略下，则应用该设备/组的将是优先级最高的策略的归档设置。

如何查看特定设备适用的策略？

在EventLog Analyzer的设置选项卡中，依次导航至管理设置 > 数据存储 > 归档 > 设置 > 归档摘要

• 设备- 显示添加到一个或多个策略中的设备列表
• 生效策略应用- 显示应用于该设备的具体策略。
• 位置- 显示策略的压缩包存储位置。
• 总大小- 显示该特定设备的归档总大小。
• 位置内大小- 显示该特定策略下收集的设备归档大小。

如何查看服务器状态和存储占用情况？

存储摘要：

在EventLog Analyzer的设置选项卡中，依次导航至：管理设置 > 数据存储 > 归档 > 归档摘要 > 基于存储

• 服务器名称- 显示归档策略和归档中配置的服务器列表
• 设备数量- 显示关联到该服务器的设备数量
• 存档数量- 显示相应服务器中存在的存档数量
• 大小- 显示服务器中存档文件的总大小
• 最后修改时间- 显示服务器最后一次密码更新时间
• 状态- 显示服务器的可达性状态
• 访问被拒绝 - 当服务器不可用或缺乏必要权限时
• 连接失败 - 因网络中断导致无法访问云端
• 编辑图标-更新凭据- 服务器密码变更时更新新凭据（仅适用于共享服务器）

更新服务器的用户名和密码

归档故障排除案例

1. 更新路径
• 前往设置 > 管理设置 > 数据存储 > 归档 >右上角的更多>更新路径
• 在下拉菜单中选择旧归档位置，在"归档移动位置"中输入新存储路径，点击更新。

注意：更新路径仅适用于本地和共享位置



2. 更新归档文件完整性
• 前往设置 > 管理员设置 > 数据存储 > 归档 > 更多 > 更新路径。
• 点击右上角刷新按钮更新文件完整性状态。

若文件存在于数据库指定目录中，"文件未找到"状态将变更为"已验证"。同时"文件被篡改"状态也将变更为"已验证"。

完整性状态（如访问被拒、连接失败）将在文件存在于对应位置时更新为已验证



3. 向数据库添加归档文件
• 前往设置 > 管理员设置 > 数据存储 > 归档 > 更多 > 添加归档条目。
• 输入归档文件所在位置。如需选择设备，可勾选"设备"并添加特定设备的归档文件。

注意：添加归档条目仅适用于本地和共享位置



4. 若ES/数据丢失或损坏
• 前往设置 > 管理员设置 > 数据存储 > 归档 > 更多 > 重建索引。
• 从归档中选择需要在Elasticsearch中索引日志的日期范围和设备，点击重建。

集中归档：

若管理服务器启用了集中归档功能，则在管理服务器中创建新策略时将不会显示S3存储桶选项。对于已配置S3存储桶的现有策略，文件传输仍会继续上传至S3位置。文件将先下载至本地，再传输至管理服务器。请确保存储空间充足，若启用集中归档功能，请将存储位置切换为本地以获得最佳性能。