存储与索引
查看索引与数据量，配置索引存储策略（滚动/保留/删除），权衡容量与搜索体验，防范误删
存储与索引
索引是存放已解析日志的「目录」。本页说明如何在 DataOri / 青龙 SIEM 中查看索引占用，并用索引存储策略控制滚动、保留与删除。面向安全运营与实施：在合规留存、磁盘容量与搜索体验之间做可落地的取舍。
版本说明（2.4）：当前产品文档版本。内容以 2.4 环境为准。
你能做什么
- 在索引管理中查看有哪些索引、各自占用多少存储、是否在增长
- 在索引存储策略中设置滚动条件（大小、条数、周期）与删除保留时间
- 按日增量粗算容量，避免「留太久拖垮搜索」或「留太短误删合规数据」
- 在改短保留或开启删除前做边界抽查与备份确认，降低误删风险
- 策略生效后，用安全数据搜索核对保留窗口内/外能否查到数据
开始之前
- 账号具备 索引管理、索引存储策略 相关权限
- 菜单路径（常见）：系统设置 → 数据管理 → 索引管理 / 索引存储策略（以界面为准）
- 采集与解析已打通：日志经 数据采集 进入，并由 解析规则 / ETL 写入索引后，列表才会出现有意义的占用
- 已明确合规或业务要求的最短保留天数，再动手改策略
- 本页只讲平台内的索引与策略操作；节点路径、容量粗算补充见 存储组件配置。不展开底层集群调参
常用操作
1. 查看索引与数据量（索引管理）
- 打开 系统设置 → 数据管理 → 索引管理
- 在列表中查看索引名与存储空间（或同等列名）
- 用搜索/筛选按名称定位业务相关索引，确认近期有写入与增长
- 对比「昨天 / 上周」印象或运维台账：若短期暴涨，先查新采集源、解析任务放量，再决定是否收紧策略
- 记录占用靠前的索引名，后续改策略时优先关注这些对象
- 若列表长期为空或占用为 0：回到采集与 ETL 链路排查，而不是先改删除天数
2. 配置索引存储策略（滚动 / 保留 / 删除）
- 打开同一入口下的 索引存储策略
- 先通读当前已保存值，截图或抄到变更单，便于回滚对照
- 在基本设置中配置滚动触发条件（任一条件达到即可滚动，以界面说明为准）：
- 最大索引大小：单个活动索引滚转到下一份前的体积上限
- 最多日志条数：条数上限触发滚动
- 最大周期：时间上限触发滚动（常见单位：天）
- 在删除区段确认是否激活删除：
- 启用后设置删除阶段的时间（过期后再保留若干天再删；字段名以界面为准）
- 关闭删除 = 不自动清理，磁盘持续增长；仅在已有明确归档/备份方案时使用
- 核对：新的「保留窗口」≥ 合规最短天数；不要为了腾盘一次砍到合规线以下
- 保存策略。滚动与删除按策略周期生效，不是点保存瞬间清空历史
- 保存后再次打开页面，确认数值与刚才一致
3. 用容量与搜索体验共同决策保留天数
- 从索引管理或运维监控取近日均增量（体积），估算：
日增 × 目标保留天数 × (1.2～1.3)≈ 所需磁盘（含余量） - 打开 安全数据搜索，用「最近 7 天 / 30 天」等大范围试查：若经常变慢或超时，优先缩小查询时间窗，并核对索引是否远超策略预期体积
- 合规允许时，缩短在线保留通常比无限拉长保留更能稳住检索；长期留存走备份/归档，而不是把所有天都留在线
- 滚动过稀（单索引过大）也会拖慢检索：可适当收紧大小/周期，让索引更「碎」一些（仍以现场默认为起点微调）
- 改完策略后观察数日：磁盘曲线应随保留窗口可预期变化，而不是只增不减
4. 误删防范（改短保留或开启删除前）
- 变更前确认：目标保留天数 ≥ 合规/业务底线；有书面或工单依据
- 确认近期备份或归档可用（若依赖离线留存）；不要在「无备份 + 首次开删除」时一次大幅缩短
- 在安全数据搜索中抽查即将落出窗口的边界时段：记下几条可复现的查询条件与结果条数
- 若界面提供预览、生效说明或倒计时类提示，读完再确认保存
- 保存后 24～72 小时内复检：窗口内数据仍可查；明显超出窗口后按预期不可查（或已在归档侧可还原）
- 若误设过短：尽快改回合规天数并保存；已删除数据只能依赖备份恢复，平台无法「撤销删除」
- 生产变更建议双人复核参数表中的关键字段后再点保存
参数说明（索引存储策略）
| 名称 | 含义 | 示例占位 |
|---|---|---|
| 最大索引大小 | 活动索引达到该体积后触发滚动 | 30GB（以界面单位为准） |
| 最多日志条数 | 活动索引文档数达到该值后触发滚动 | 50000000 |
| 最大周期 | 活动索引存活达到该时间后触发滚动 | 1 天 |
| 激活删除 | 是否按策略自动清理过期索引/数据 | 开启 / 关闭 |
| 删除阶段的时间 | 满足过期条件后再保留多久才删除 | 7 天（须 ≥ 合规底线） |
| 索引名（只读列表） | 索引管理中展示的业务/系统索引标识 | security-events-* 一类命名 |
勿在文档、截图或工单中填写真实生产密码、客户公网 IP 或未脱敏连接串。
常见问题（本模块）
1. 现象：索引管理里几乎没有占用，但采集任务显示在跑 → 原因：日志未成功解析入库，或写到了别的索引/租户视图。 → 处理：核对 ETL 是否启用且无持续失败；用 安全数据搜索 查最近短时间窗；确认采集目标与解析输出索引一致（见 数据采集）。
2. 现象：刚保存了更短的保留天数，历史数据立刻「全没了」或完全没变化 → 原因：删除按周期异步生效，不是保存瞬间全量清空；也可能删除未激活，磁盘只增不减。 → 处理：再打开策略确认「激活删除」与天数；等一个策略周期后再用边界时间窗抽查；勿反复大幅摇摆参数。
3. 现象：安全数据搜索越来越慢，磁盘也接近告警 → 原因：在线保留过长、单次查询时间范围过大，或活动索引滚动过稀导致单份过大。 → 处理：合规允许下缩短删除前保留；搜索时缩小时间窗；微调滚动大小/周期。容量与路径注意见 存储组件配置。本页不涉及集群 JVM/分片等调参。
4. 现象：担心改策略会误删合规期内日志 → 原因：删除天数设得低于合规底线，或未先确认备份。 → 处理：按上文「误删防范」执行；保留窗口必须 ≥ 合规天数；无归档方案时不要关闭监控却开启激进删除。
如何确认成功
- 索引管理能打开，能看到索引名与存储空间
- 索引存储策略保存后再打开，数值与刚才一致
- 保留窗口内的日志可在 安全数据搜索 中查到
- 明显超出保留窗口后，对应时段不可在线查到（或已按备份/归档方案另存）
- 磁盘占用随日增量与保留天数呈可预期变化，无失控的「只增不减」（在已激活删除的前提下）
- 变更单保留了改前/改后参数，满足审计或回滚需要
相关文档
- 数据采集
- 解析规则 / ETL
- 安全数据搜索
- 存储组件配置（配置与容量视角，与本页互补）
:::caution 本文档仅供在线浏览，不提供源文件或整包下载。 :::