归档

由 EventLog Analyzer 处理的日志文件会定期归档，用于内部、取证和合规审计。您可以根据需求配置以下内容：

• 归档间隔
• 需要归档的日志类型
• 已归档文件的存储位置
• 保留期限

归档文件可以加密并加上时间戳，以确保其安全且防篡改。

如何查看归档日志？

要查看已归档的日志数据，请在 EventLog Analyzer 中转到设置选项卡，并导航至管理设置 > 数据存储 > 归档

归档日志页面包含以下信息：

• 设备 - 从中收集日志的设备列表
• 格式 - 设备类型
• 开始和结束 - 时间范围表示 EventLog Analyzer 收集并归档日志的时间段。
• 大小 - 从每台设备收集的已归档日志数据的大小。
• 完整性 - 归档文件的完整性（无论是完好还是被篡改）由以下状态表示：

1. 已验证 - 归档日志完整无误。
2. 归档文件缺失 - 在压缩/zip 过程中未找到平面文件时。
3. 归档文件未找到 - 当归档文件在数据库中记录的原始存放位置不可用时。
4. 归档文件已被篡改 - 当原始归档文件被外部修改，或其部分内容被外部删除时。

注意： 如果文件被删除或被篡改，将立即发送电子邮件通知，其中包含消息“归档文件被篡改”。

5. 归档文件可用 - 当归档完整性检查被禁用时，已验证和被篡改的文件都会带有此状态。
6. 归档文件不可用 - 当归档完整性检查被禁用，且归档文件缺失或未在原始位置找到时，将显示此状态。
7. 拒绝访问 - 当无法访问存放归档的远程位置时
8. 连接失败 - 当由于网络连接问题，存放归档的 Amazon S3 存储桶无法访问时

1. 已加载 - 归档文件已加载到数据库。点击查看以查看该文件
2. 数据已可用 - 如果归档文件位于 Elastic Search 数据库中
3. 数据仅部分可用 - 如果部分归档数据在 ElasticSearch 数据库中
4. 未加载 - 如果归档文件不在 ElasticSearch 数据库中。
5. 文件尚未上传 - 如果归档文件未传输到指定的 ZIP 位置

如何查看特定的归档文件？

• 要查看特定的归档文件，请单击与设备对应的复选框。
• 要查看在特定时间段归档的日志文件，请点击页面右上角的日历图标并选择所需的时间段。

如何筛选并查看一组归档文件？

要按归档数据的大小或状态查看文件，请点击大小或状态旁边的筛选图标，并设置相应的值。系统将根据给定的值对文件进行筛选。

如何对归档文件列表进行排序？

点击设备/从/到旁边的下拉图标，可根据相应的列值按升序对列表进行排序。再次点击，列表将按降序排序。

如何加载归档文件？

要加载已归档的文件，请转到 EventLog Analyzer 中的设置页面，并导航至管理设置 > 数据存储 > 归档

1. 检查与设备对应的归档文件状态。如果显示为未加载，点击加载归档按钮，将文件加载到数据库中。
2. 当文件状态变为已加载后，点击对应的查看按钮查看文件。

注意：存储在共享存储和 S3 存储桶中的归档文件将被下载到本地存储，并将启动加载。

注意： 要卸载文件，选择该文件并点击卸载归档按钮。

注意： 如果文件的状态显示为 数据部分可用，并继续加载归档，则可能会产生重复数据。

如何删除归档文件？

要删除您的已归档文件，请前往 EventLog Analyzer 的设置页面，并导航到管理设置 > 数据存储 > 归档。

1. 通过勾选相应的复选框来选择已归档文件。
2. 点击删除图标以删除已归档的文件。

如何配置基于组/基于设备的归档设置？

要配置归档设置，请点击屏幕右上角的设置。

配置归档间隔、保留期限、加密、归档文件的时间戳，以及保存归档文件和索引文件的位置。

注意：归档和数据库存储是异步操作。这些操作互不相关。

配置云账户：

1. 确保已启用归档。默认情况下已启用。使用切换按钮禁用归档。
2. 输入已归档文件的保留期限。默认期限为永久。
3. 日志可以以两种格式进行归档——包含已解析字段的原始日志 和 原始日志。选择前者时，日志将与元数据一起存储；选择后者时，日志将不包含元数据。

注意： 用于原始日志的存储空间会更少，但这些数据只能用于生成基础报告。

4. 在临时文件位置字段中输入平面文件的存储位置。单击验证以验证该位置。

   注意：默认情况下，为获得最佳性能，该位置设置为本地。

5. 在归档 ZIP 位置字段中输入归档文件的存储位置。
1. 本地 - 要将归档存储在本地位置，请从下拉菜单中选择本地并输入存储位置
2. 共享 - 要将归档存储在共享位置，请在下拉菜单中选择“共享”，并输入存储位置。

• 勾选身份验证复选框后，您需要输入凭据才能访问共享路径。取消选中后，所有具有共享访问权限的人都可以访问该路径。
• 确保远程计算机可用，并且对该共享具有足够的读写权限。

1. 云账户 - 显示已配置的云账户。从下拉列表中选择相应的云账户。要配置云账户，请单击“配置云账户” - 这将在不启用云试用的情况下配置 AWS 云账户。若要通过云试用来配置云账户，请参阅此文档。

注意：通过域和账户或归档配置的云账户只能在此列出

2. 存储桶 - 显示与相应云账户关联的已配置存储桶。请从下拉列表中选择相应的存储桶。请确保您的存储桶具有足够的权限。要创建新存储桶，请在输入框中输入存储桶名称，然后点击“+”图标。默认情况下，存储桶类型为通用用途（General Purpose），并位于主区域。请确保存储桶名称遵循此命名规范规则。如果需要对存储在这些存储桶中的归档数据进行加密，请确保这些存储桶具有“ Bucket Key Enabled ”权限。默认情况下，创建存储桶时 KMS 密钥将被禁用。要授予这些权限，请导航到 Amazon S3 → Buckets →（存储桶名称）→ Properties → Default Encryption → Bucket Key

3. 存储类型 - 显示 S3 存储类别。默认使用的存储类型是 S3 标准，不收取费用。但是，其他存储类型将根据所使用的存储量计费。 AWS 存储定价与权限
4. S3 加密 - 显示存储桶的加密设置。默认加密为 Amazon S3 管理的密钥（SSE‑S3），作为基础级别的加密。

AWS 密钥管理服务 (AWS KMS) 和使用 AWS KMS 密钥的双层服务器端加密 ( DSSE-KMS ) 可以在相应的 KMS 密钥已存在的情况下进行配置。如果没有可用的密钥，您可以在 AWS 控制台中生成 KMS 密钥。

创建 KMS 密钥：

1. AWS 管理控制台 → 服务 → 所有服务 → 密钥管理服务 → 创建密钥。


权限：

• 要列出您的云账户中已配置的 kms 密钥，请为您的 IAM 用户授予''kms:ListKeys"策略权限。
• 要使用 KMS 密钥加密归档，请为您的 KMS 密钥（密钥 ARN）授予 "kms:GenerateDataKey" 策略权限。有关 KMS 密钥权限，请参阅此文档：KMS 密钥权限

价格 :

对 S3 存储桶使用默认加密不会产生额外费用

对于 SSE-KMS 和 DSSE-KMS，将产生 AWS KMS 费用，费用列于 AWS KMS 定价。

1. 选择文件创建的时间间隔。日志将按指定的时间周期写入平面文件。

注意： 默认间隔为 8 小时。

2. 请选择用于创建 zip 文件的时间间隔。平面文件将被压缩（压缩比为 40:1），并按指定的时间间隔创建 zip 文件。

注意： 默认间隔为 1 天。

3. 如有需要，请启用归档时间戳。默认情况下为禁用。
4. 默认情况下，定期归档完整性检查已启用。

注意： 默认间隔为 1 天。

注意：文件会在本地压缩并传输到目标位置，因此需要额外的磁盘空间。请确保系统中有足够的存储空间（大小）。如需了解本地存储所需的磁盘空间，请使用调优指南进行计算

点击右上角的“创建新策略”以配置多个归档设置。

附加配置 - 选择将应用此策略的设备/组。

如何查看已配置的策略？

点击屏幕右上角的设置。这会打开归档设置页面，该页面包含所有已配置的策略。

• 策略名称 - 指定策略的名称。
• 归档位置 - 显示该策略的 ZIP 文件位置。
• 设备/组 - 显示策略中添加的所有设备和组。
• 大小 - 策略中添加的所有设备/组的归档总大小。
• 保留期 - 策略的日志保留期。
• 状态 - 显示归档的状态。状态将为成功或归档已禁用。

将鼠标悬停在策略上，点击“编辑”以修改已配置的设置。

您还可以在归档设置页面的右上角点击创建新策略按钮来添加新策略。

如何编辑策略的优先级？

要更改策略的优先级，点击策略优先级，通过拖放重新排列策略，然后保存。

注意：如果某个设备/组被添加到多个策略中，优先级最高的策略的归档设置将应用于该设备/组。

如何检查哪个策略适用于特定设备？

在 EventLog Analyzer 的设置选项卡中，依次转到管理设置 > 数据存储 > 归档 > 设置 > 归档摘要

• 设备 - 显示已添加到一个或多个策略中的设备列表
• 已应用的生效策略 - 显示应用于该特定设备的策略。
• 位置 - 显示保单的邮政编码位置。
• 总大小 - 显示该设备的归档总大小。
• 位置内大小 - 显示在该特定策略下收集的设备归档的大小。

如何查看服务器状态和存储占用情况？

存储概览：

在 EventLog Analyzer 的设置选项卡中，导航至管理设置 > 数据存储 > 归档 > 归档摘要 > 基于存储

• Server名称 - 显示在归档策略和归档中配置的 Server 列表
• 设备数量 - 显示与该服务器关联的设备数量
• 归档数量 - 显示相应服务器上存在的归档数量
• 大小 - 显示服务器上归档的总大小
• 最后修改时间 - 显示服务器的上次密码更新时间
• 状态 - 显示服务器的可达性状态
• 访问被拒绝 - 当服务器不可用或不具备必要的权限时
• 连接失败 - 当因互联网断线而无法访问云端时
• 编辑图标 - 更新凭据 - 在服务器密码更改时更新凭据 ( 仅适用于共享服务器 )

更新服务器的用户名和密码

归档故障排除案例

1. 更新路径

• 转到 设置 > 管理设置 > 数据存储 > 归档 > 更多 在右上角 > 更新路径
• 在下拉列表中选择旧的归档位置，并在归档移动位置中输入归档被移动到或当前所在的新位置，然后点击更新。

注意：更新路径仅适用于本地和共享位置

• 前往 设置 > 管理设置 > 数据存储 > 归档 > 更多 > 更新路径。
• 点击右上角的刷新按钮以更新文件的完整性状态。

如果文件存在于数据库中指定的目录中，未找到文件状态将变为已验证。这也会将状态从被篡改的文件变为已验证。

如果在相应位置存在该文件，诸如“访问被拒绝”和“连接失败”等完整性状态将更新为“已验证”。

• 转到 设置 > 管理员设置 > 数据存储 > 归档 > 更多 > 添加归档条目。
• 输入归档所在的位置。如有需要，选择 设备 并添加特定设备的归档。

注意：添加归档条目仅适用于本地和共享位置

• 前往 设置 > 管理设置 > 数据存储 > 归档 > 更多 > 重建索引。
• 在 Archives 中选择需要在 ES 中建立索引的日志对应的日期范围和设备。单击 Rebuild。

集中归档：

如果在 Admin Server 启用了集中归档，那么在 Manage Server 中，新策略将不会显示 S3 存储桶选项。对于已配置 S3 存储桶的现有策略，文件传输将继续上传到 S3 位置。文件将先下载到本地，然后再传输到 Admin Server。请确保拥有足够的存储空间；此外，如果已启用集中归档，为获得最佳性能，请务必将位置更改为本地。