归档审计数据

概述

SharePoint Manager Plus 支持自动归档审计和 IIS 日志数据，以优化存储、保持性能并满足合规要求。通过将较旧、不常访问的审计数据从实时存储层转移到归档层，产品保持高效性能，同时保留完整的审计事件历史。

SharePoint Manager Plus 中的归档阶段

在 SharePoint Manager Plus 中，数据通过不同的存储状态流动，以平衡性能和存储效率。下表描述了每个术语及各阶段的数据管理方式。

存储层	数据源	数据状态	说明	可搜索性	存储使用情况
实时层	审计数据	热数据	最近的审计日志，存储在数据库中并被积极使用。	可搜索	占用最大磁盘空间。
	IIS 日志数据	热数据	IIS 日志收集并存储在归档前的实时环境中。	可搜索	占用最大磁盘空间。
归档层	审计数据（压缩原始数据）	冻结数据	超过归档期限的审计数据，以压缩原始文件形式存储。用于合规保留。	不可搜索	占用比热数据少 80% 的磁盘空间。
	IIS 日志数据（压缩索引数据）	冷数据	根据归档间隔迁移的较旧 IIS 日志。数据被压缩并建立索引。	不可搜索	占用比热数据少约 50% 的磁盘空间。

默认情况下，SharePoint Manager Plus 会归档超过 10 天的审计数据。您可以修改此设置以符合组织的数据保留政策。归档日志可随时重新索引并实现可搜索。

数据归档工作流

图 1：SharePoint Manager Plus 中审计数据归档流程。

审计数据归档流程

• 默认审计数据存储在 PostgreSQL 或 Microsoft SQL Server 中。
• 每日运行的计划任务检查审计数据是否超过配置的归档期限。
• 审计数据超过归档期限时，从实时层移至归档层中的冻结数据。
• 归档层中的审计数据以压缩原始数据形式存储。
• 您可以配置保留期限以自动管理审计数据。期限结束后，实时层中的已索引审计数据将自动取消索引并返回为压缩原始文件的冻结数据，释放磁盘空间。
• 当用户需要查看较旧审计数据时，从冻结数据存储中检索所需数据。
• 系统解压缩原始文件并重新索引到数据引擎，使数据重新作为实时层中的已索引审计数据供用户搜索使用。

IIS 日志归档流程

• IIS 日志数据存储在产品的数据引擎中。
• IIS 日志遵循配置的 IIS 日志归档间隔。
• 较旧的 IIS 日志迁移到归档层中的冷数据，存储为压缩的索引数据。
• 用户搜索超过 IIS 归档间隔的数据时，Elasticsearch 会自动从归档层检索所需数据并移回实时层。
• 定期检查冷数据是否超过保留天数。
• 如果 IIS 日志数据超过配置的保留期限，则永久删除该数据。此操作不可逆。

示例：归档频率设置为 10 天，产品安装于 8 月 26 日。

归档进程每日运行，仅归档超过 10 天的数据。归档进程于 9 月 5 日运行时，会将 8 月 26 日的审计数据移至归档层。审计日志可随时重新索引以供查看，且可配置保留期限以管理索引数据的可搜索时长。保留期限到期后，索引数据将自动取消索引并返回冻结存储，确保高效管理且无需人工干预。

在 SharePoint Manager Plus 中配置归档设置

您可以通过定义审计日志和 IIS 日志的归档、索引和保留时长来配置 SharePoint Manager Plus 中的归档设置。

归档审计数据的方法：

1. 以管理员身份登录 SharePoint Manager Plus。
2. 导航至 Admin > Custom Settings > Archive Audit Data.
3. 在 分类 部分，勾选 审计 复选框，并指定审计数据应归档的天数。
4. 在 IIS 日志归档间隔 字段，指定 IIS 日志数据归档的频率（天）。
5. 在 在 IIS 日志保留期
6. 在 字段，指定归档后 IIS 日志应永久删除的天数。 在
7. 已索引审计保留期 字段，指定已索引数据自动取消索引前的天数。.

点击