Graylog: 理解索引（Indices）

本文件是管理保留策略指南的一部分。您可以在这里查看完整指南：如何配置日志保留策略。

👋 欢迎阅读 Stackhero 文档！

Stackhero 提供现成的 Graylog 云 解决方案，具有众多优势，包括：

• 包含无限制和专用的 SMTP 电子邮件服务器。
• 只需点击即可轻松完成更新。
• 使用 HTTPS 保护的可定制域名（例如，https://logs.your-company.com）。
• 由专用私有 VM提供的最佳性能和强大安全性。

节省时间并简化您的生活：只需 5 分钟即可试用 Stackhero 的 Graylog 云托管 解决方案！

在定义保留策略之前，了解 Graylog 和 OpenSearch 所使用的索引机制非常重要。可以将索引想象成物理容器。Graylog 会“打开”一个容器（即一个索引），并将接收到的消息放入其中。当该容器分配的配额被超出后，这个容器就会被关闭，存放到“架子”上，然后为后续消息开启一个新的容器。

您可以通过不同的标准来设置这个配额：

1. 消息数量：“每个容器最多保留 2,000 万条消息，然后开启新容器。”
2. 时间限制：“每个容器使用 10 天，然后切换到新容器。”
3. 容量限制：“每个容器存储 20 GB，然后切换到下一个。”

还可以定义架子上最多能存放的容器数量。如果超过这个数量，最旧的容器会被自动删除。例如，如果您设置最多 20 个容器，而实际有 22 个，则最早的 2 个容器会被移除。

在这个类比中，容器代表索引，架子代表 OpenSearch，最大数量则是允许的索引数。