Moteur de recherche et d'analyse pour la recherche plein texte, la recherche hybride et les journaux. Nœud unique ou cluster avec gestionnaires de cluster et nœuds de données dédiés.
Généré depuis catalog/services/opensearch.yaml : ne pas modifier à la main.
Résumé
| |
|---|
| Version | 2.19.2 |
| Usage | installer et configurer, configurer et connecter |
| Couche | fonctionnelle (catalogue IA) |
| Catégorie | Plateformes de données |
| Méthodes d'installation | binary, podman |
| Connexion externe | opensearch |
| Réservé au bac à sable | non |
Licence
| |
|---|
| Identifiant SPDX | Apache-2.0 |
| Politique de licence | licence socle (MIT ou Apache-2.0) |
| Exception de licence | - |
| Composant de la plateforme | opensearch |
Paquets et artefacts
Un paquet que publie le projet du service (son image, son archive binaire, son paquet Python ou système) porte la licence du service ; un paquet tiers porte la licence écrite sur sa ligne, lue dans les métadonnées officielles du projet amont.
Les images sont épinglées par étiquette dans le descripteur, et par condensé (digest) quand le descripteur en déclare un (le bundle hors ligne refuse alors une image téléchargée qui ne le porte pas) ; le condensé est enregistré dans le miroir du Manager à l'import du bundle hors ligne, et chaque téléchargement ou chargement est vérifié par rapport à lui.
Systèmes et architectures pris en charge
| Méthode | Systèmes d'exploitation | Architectures |
|---|
binary | famille RHEL (dnf), famille Debian (apt), Arch Linux (pacman) | x86_64 (architecture des artefacts du descripteur) |
podman | famille RHEL (dnf), famille Debian (apt), Arch Linux (pacman) | x86_64, aarch64 (non restreintes par le descripteur) |
Systèmes hôtes certifiés : RHEL 8/9/10, Rocky Linux 8/9/10, AlmaLinux 8/9/10, Oracle Linux 8/9, CentOS Stream 9/10, Ubuntu 22.04/24.04, Debian 12, Arch Linux (rolling). Le contrôle préalable des hôtes accepte ces systèmes (une autre version d'une famille connue donne un avertissement, une version en fin de vie est refusée) et les architectures x86_64 et aarch64.
Prérequis
Hôte
- au moins 4096 Mo de mémoire (bloquant,
memory).
- paramètre du noyau
vm.max_map_count au moins égal à 262144 (avertissement, max_map_count).
Programmes que les commandes et les contrôles du service lancent sur l'hôte, hors des racines gérées : les ajouter à allowed_commands de l'agent (voir Sécurité de l'agent Navin), sinon l'agent les refuse avec command_not_allowed : /usr/bin/curl.
Réseau et ports
| Composant | Nom du port | Port | Ouvert dans le pare-feu de l'hôte |
|---|
manager | http | 9200/tcp | oui |
manager | transport | 9300/tcp | oui |
node | http | 9200/tcp | oui |
node | transport | 9300/tcp | oui |
Paramètres du noyau
| Paramètre | Valeur |
|---|
vm.max_map_count | 262144 |
vm.swappiness | 1 |
Limites des processus : memlock | unlimited |
Limites des processus : nofile | 65536 |
Limites des processus : nproc | 4096 |
Services et connexions nécessaires
Ce service n'a aucune dépendance.
Méthodes et modes d'installation
| Méthode | Défaut | Ce que la méthode utilise |
|---|
binary | oui | les archives binaires du descripteur, décompressées dans le répertoire du service |
podman | - | les images de conteneur du descripteur, exécutées par Podman sous systemd |
Composants
| Composant | Type | Méthodes d'installation | Ports |
|---|
Gestionnaire de cluster (manager) | maître | binary, podman | 9200/tcp, 9300/tcp |
Nœud de données (node) | travailleur | binary, podman | 9200/tcp, 9300/tcp |
Nœud unique (single-node) (par défaut)
Un seul nœud qui porte tous les rôles.
Ce que le mode déploie :
| Composant | Placement |
|---|
manager | non utilisé |
node | min 1, max 1 |
Cluster (cluster)
Un nombre impair (3 ou plus) de nœuds éligibles gestionnaires de cluster et des nœuds de données.
Ce que le mode déploie :
| Composant | Placement |
|---|
manager | min 3, nombre impair, recommandé 3 |
node | min 2, recommandé 3 |
Installer ce service
L'assistant d'installation du Navin Manager planifie, valide et exécute l'installation ; il faut la permission services:install sur le cluster.
-
Ouvrez l'assistant. Dans Clusters, choisissez l'action de ligne Installer des services du cluster cible. L'assistant s'ouvre sur sa première étape, Service.
-
Choisissez le service. À l'étape Service, sélectionnez OpenSearch. La carte affiche la licence Apache-2.0. Choisissez la Méthode parmi binary, podman (par défaut binary). Pour enregistrer à la place un service opensearch existant de votre organisation, activez Utiliser un service externe existant.
-
Choisissez les hôtes et le mode. À l'étape Hôtes, cochez les hôtes, puis choisissez le Mode : single-node (par défaut), cluster. Chaque mode déploie les composants listés dans Méthodes et modes d'installation. Avec plusieurs composants, placez chacun sur ses hôtes dans Répartition des composants (Proposer un placement propose un placement qui respecte les cardinalités).
-
Liaisons. Ce service n'a aucune dépendance : l'étape Liaisons n'a rien à lier.
-
Configurez. À l'étape Configuration, relisez les paramètres (voir Paramètres de configuration). Les mots de passe laissés vides avec une valeur générée par défaut sont générés et scellés par le Manager.
-
Relisez et installez. À l'étape Installation, le Manager valide le plan et affiche l'ordre d'installation ; quand il indique « Le plan est valide. Prêt pour l'installation. », choisissez Installer. Un mode hautement disponible n'est installé que si ses contrôles HA réussissent.
-
Vérifiez. L'opération se termine quand les contrôles de santé de chaque instance réussissent (voir Contrôles de santé) ; le service apparaît alors en marche dans Services.
Connecter un service existant
| |
|---|
| Schémas | https |
| Port par défaut | 9200 |
| Authentification | obligatoire |
| Contrôle de santé | /_cluster/health |
| Méthode d'authentification | Champs | Description |
|---|
basic | username, password | Utilisateur du plugin de sécurité (utilisateurs internes ou LDAP) ; Jaeger, OpenSearch Dashboards et le collecteur s'y connectent. |
Documentation officielle : https://docs.opensearch.org/latest/security/
| Champ | Type | Défaut | Description | Remarques |
|---|
Préfixe des index de Security Analytics (security_analytics_index) | string | navin-siem | Préfixe des index de Security Analytics utilisé par la plateforme. | - |
Haute disponibilité
Topologie par mode
| Modes | Niveau le plus haut du catalogue | Répartition | Composant du quorum | Domaines de panne | Description |
|---|
single-node | autonome (standalone) | unique (single) | - | 1 | Un nœud portant tous les rôles. |
cluster | cluster (cluster) | actif-actif (active-active) | manager | 3 | Un nombre impair de nœuds éligibles cluster manager et des nœuds de données portant shards primaires et réplicas. |
Remarques
- L'élection du cluster manager utilise une configuration de vote (majorité des nœuds éligibles), notée ici raft ; un index ne survit à la perte d'un nœud qu'avec au moins un shard réplica.
Paramètres de configuration
Réseau
| Paramètre | Type | Défaut | Valeurs permises | Obligatoire | Secret | Redémarrage | Description |
|---|
Port HTTP (http_port) | port | 9200 | - | non | non | non | Port de l'API REST. |
Port de transport (transport_port) | port | 9300 | - | non | non | non | Port du trafic entre nœuds. |
Nom du cluster (cluster_name) | string | navin-search | ^[a-z][a-z0-9-]{1,40}$ | non | non | non | Nom partagé par les nœuds du cluster. |
Mémoire
| Paramètre | Type | Défaut | Valeurs permises | Obligatoire | Secret | Redémarrage | Description |
|---|
Tas JVM (heap_mb) | int | 2048 | min 512, max 31744, MB | non | non | oui | Tas de la JVM : la moitié de la mémoire de l'hôte, au plus 31 Go (pointeurs compressés). (recommandé clamp(round(host.memory_mb * 0.5), 512, 31744)) |
Sécurité
| Paramètre | Type | Défaut | Valeurs permises | Obligatoire | Secret | Redémarrage | Description |
|---|
Sécurité et TLS (tls_enabled) | bool | true | - | non | non | non | TLS sur HTTP et sur le transport avec des certificats de l'autorité de la console. Le greffon de sécurité n'est jamais désactivé (P5C-006) : il exige les certificats du transport, la désactivation est donc refusée au rendu de la configuration. |
Mot de passe administrateur (admin_password) | password | généré | - | non | oui | non | Mot de passe initial de l'utilisateur admin, haché dans internal_users.yml au premier démarrage (l'index de sécurité le conserve ensuite). |
Points d'accès
| Point d'accès | Schéma | Composant | Port | Chemin | Paramètre TLS | Paramètres de liaison | Secrets de liaison | Commande de provisionnement |
|---|
http | http | node | 9200 (http_port) | - | tls_enabled | username, tls | password | - |
Commandes
| Commande | Composant | Cible | Description |
|---|
Santé du cluster (cluster_health) | node | premier hôte | Lit _cluster/health (état, nœuds, partitions non assignées). |
Lister les nœuds (cat_nodes) | node | premier hôte | Lit _cat/nodes (rôles, tas, charge, gestionnaire élu). |
Contrôles de santé
Vivacité (par instance)
| Composant | Contrôle | Détails |
|---|
manager | TCP {{ host.ip or '127.0.0.1' }}:{{ config.http_port }} | 90 tentatives ; intervalle 2 s |
node | TCP {{ host.ip or '127.0.0.1' }}:{{ config.http_port }} | 90 tentatives ; intervalle 2 s |
Disponibilité (contrôle du service)
| Contrôle | Détails |
|---|
TCP {{ host.ip or '127.0.0.1' }}:{{ config.http_port }} | - |
Contrôles préalables
| Contrôle | Type | Signification | Sévérité | Composants |
|---|
memory | memory_mb {"min": 4096} | au moins 4096 Mo de mémoire | bloquant | tous les composants |
max_map_count | sysctl_min {"key": "vm.max_map_count", "min": 262144} | paramètre du noyau vm.max_map_count au moins égal à 262144 | avertissement | tous les composants |
http_port_free | port_free {"param": "http_port"} | port 9200 libre sur l'hôte | bloquant | tous les composants |
Sauvegarde et restauration
Instantané de tous les index (index de sécurité excepté) dans un dépôt sur fichiers de path.repo, archivé (P5C-008, moteur opensearch_snapshot). Mode nœud unique seulement : un cluster exige un dépôt partagé par tous les nœuds et le script le refuse avec un message explicite.
| |
|---|
| Format | opensearch-snapshot |
| Composant | node |
| Fichiers | {{ backup.dir }}/snapshot.tar.gz |
| Test de restauration | non |
| Instances arrêtées pendant la restauration | non |
Désinstallation
Chemins supprimés quand les données sont purgées : {{ paths.data }}, {{ paths.log }}.
Documentation amont