概述

每个安装的ManageEngine Log360实例均作为日志处理器运行。它接收来自不同来源的日志，并执行解析、关联、增强、索引、归档、告警和日志转发等操作。在可扩展部署中，多个日志处理器组成集群，通过负载均衡均匀分配日志，并可分配角色以优化性能。这确保了更高吞吐量，消除了瓶颈，并提供大规模可靠的日志管理。

• 有关 Log360 可扩展性的详细信息，请参阅此文档。
• 了解何时扩展Log360部署，请参阅此文档。
• 了解 Log360 容量规划，请参阅此文档。
• 规划可扩展部署请参阅此文档。

应用场景

1. 可扩展日志处理：通过 在集群中部署多个日志处理器节点，可实现水平扩展处理能力，日志均匀分布以平衡工作负载并确保性能持续稳定。

   工作原理？

   

   设备生成的日志由代理收集，代理对日志进行解析、过滤、压缩，并安全上传至日志处理器。每个日志处理器执行其分配的角色，如解析、索引或增强。应用数据库维护角色分配和路由信息，确保日志被定向至合适的处理器。随着额外处理器的部署，工作负载自动平衡，实现水平扩展并防止性能瓶颈。

2. 可靠日志采集：日志处理器 采用分布式队列机制，将传入日志分类存储于队列中，可无损处理突发流量。
3. 基于角色的专业化 设计，实现性能优化：日志 处理器可配置为处理特定模块，如索引、关联、告警、归档或日志转发，从而隔离高负载任务以实现最高效率。

   如何运作？

   

   代理将日志上传至处理层，由该层分配至特定角色处理器。例如 ：

   • 关联日志处理器根据安全规则评估事件。
   • 日志转发处理器将日志发送至外部工具或目标进行深度分析或存储。

   应用数据库存储配置和路由细节，确保日志根据其角色被导向相应的处理器。 通过将处理器分配给特定角色，组织可优化资源利用率并独立扩展每个组件。例如，若关联工作负载增加，可添加更多关联处理器而不影响日志转发能力。

4. 分布式日志收集：多站点部署确保远程站点日志可通过单一中央控制台监控管理 ，访问网关集群则保护 内部处理器细节。

   工作原理？

   

   远程站点的代理将日志上传至单一公共接口——访问网关集群。该集群将日志安全转发至中央环境中的日志处理器。访问网关集群作为桥梁，向外部代理隐藏内部处理器细节，降低暴露风险。 日志随后被路由至相应处理器进行解析、索引或增强，应用数据库负责维护配置和路由信息。随着日志量增长，可在中央站点添加处理器，无需修改远程代理配置。

角色与功能

日志处理器可配置为执行一个或多个角色，每个角色具有特定功能。用于添加和管理其他处理器的处理器被指定为主处理器。仅主处理器可执行添加、删除或编辑等集群操作。角色分类如下：

1. 默认角色：核心处理所需的预定义角色，包括：
   • 处理引擎：对 解析日志进行增强 ，处理日志转发、告警及归档。
   • 关联引擎：根据安全规则评估事件。
   • 搜索引擎：对数据进行索引并处理用户查询。
   • 日志队列 引擎：管理 组件间事件流并防止数据丢失。
2. 自定义角色：可根据特定需求添加的角色，包括：
   • 告警：当日志或事件符合特定条件时触发告警。
   • 归档：处理 日志归档以实现长期存储。
   • 日志转发：将 日志发送 至外部工具或目标位置以供进一步分析或存储。

注意：当为日志处理器分配自定义角色（如告警、归档或日志转发）时，处理引擎将不再处理这些功能。

另请参阅

本文档概述了Log360的可扩展架构及关键应用场景。如需了解如何有效配置和管理这些组件，请参阅以下文章：

• 配置日志处理器
• 管理日志处理器