[Graylog] - Modification de la durée de rétention

[EmmanuelM19]

Bonjour,

Est-il possible de changer la durée de rétention d'un Stream existant ?
- Pas proposé depuis le Manager
- Demande un GUID pour "retentionId" quand on passe par l'API

A la création, il propose 14D, 1M, 3M, 1Y

Puis-je créer 4 streams temporaires avec ces 4 valeurs pour aller récupérer les 4 "retentionID" correspondants et les utiliser ailleurs (j'imagine que c'est pas si simple) ?

Merci pour l'information.

Cdlt

E.

[PierreD]

Bonjour @EmmanuelM19,

Il n'est pas possible de modifier la rétention d'indexation d'un stream existant et ce pour deux raisons principales:

• Les logs sont physiquement stockés sur des index différents, possiblement sur des machines distinctes. Déplacer les données de l'un à l'autre impliquerait de la pression sur le cluster mais surtout un temps pendant lequel la donnée serait inconsistante, possiblement dupliquée.
• Un risque non négligeable sur la compréhension de notre facturation au stockage, particulièrement en cas de réduction de la durée.

Pour faciliter la transition sur de nouveaux streams, nous vous invitons

• à utiliser les alias et kibana
• utiliser la fonction de duplication des tableaux de bords Graylog

Cordialement,

[EmmanuelM19]

Pierre,

Un grand merci pour la réponse.

Si je spécifie un plafond et que j'y arrive, sans avoir bloqué l'indexation, vous supprimez les vieilles données, même si cela implique une diminution de la durée de rétention ?

Cdlt
E.

[PierreD]

Le plafond par stream vous permet de définir un seuil qui en fonction des options choisies :

• vous alertera par email quand le volume observé est sur le point d'être atteint
• et/ou bloquera le processus d'indexation de ce stream sur la plateforme lorsque le seuil est à 100%

Ces deux fonctionnalités permettent avant tout à nos clients de garder le contrôle de leur facturation dans une logique "Pay as you go".

Le choix de rétention des flux associés reste inchangé. Si de la place se libère (typiquement suite à un roulement d'index) sur ceux-ci alors que le seuil était atteint, la plateforme levera la pause de l'indexation jusqu'à atteindre de nouveau ce curseur.