Elasticsearch Champs de configuration de l’entrée de données

  • Rversion finale: Australia
  • Mis à jour 12 mars 2026
  • 9 minutes de lecture

    • Description des champs sur le Elasticsearch formulaire de configuration des entrées de données.

    Configuration de base

    Champ Description
    Nom Nom de la nouvelle entrée de données. Ce champ est obligatoire.
    Description Description de l’entrée de données.
    Exécuter sur Option permettant de déterminer s’il faut utiliser un serveur MID ou une grappe de serveur MID.

    Cette fonctionnalité est prise en charge dans l’application, version Analyse de l'intégrité des journaux 26.0.17 de février 2023 et ultérieures, disponible depuis le ServiceNow Store.
    MID

    (Uniquement lorsque le champ Exécuter sur est défini sur Serveur MID spécifique)

    Serveur MID vers lequel les données de journal des Elasticsearch index sont extraites.
    Remarque :
    • Vous pouvez sélectionner uniquement des Serveurs MID qui prennent en charge l'authentification de base. Les Serveurs MID qui prennent en charge mTLS ne sont pas répertoriés.
    • Le nombre maximal par défaut d'entrées de données qui diffusent des journaux vers un seul Serveur MID est de 10. Vous pouvez modifier ce nombre dans les propriétés du MID Server.
    • Si l’ingestion de journal n’est pas activée pour la tâche sélectionnée Serveur MID, Analyse de l'intégrité des journaux elle est activée automatiquement.
    Ce champ est obligatoire.
    Grappe de serveurs MID

    (uniquement lorsque le champ Exécuter sur est défini sur Spécifique Serveur MID Grappe)

    Grappe Serveur MID vers laquelle les données de journal sont extraites.

    L’entrée de données s’exécute sur une seule Serveur MID entrée dans le cluster jusqu’à ce que cela Serveur MID échoue. Le système déplace ensuite toutes les tâches d’entrée de données vers le serveur MID disponible suivant dans la grappe, conformément à l’ordre configuré.

    Cette fonctionnalité est prise en charge dans l’application, version Analyse de l'intégrité des journaux 26.0.17 de février 2023 et ultérieures, disponible depuis le ServiceNow Store.

    Remarque :
    • Analyse de l'intégrité des journaux prend en charge uniquement les clusters de basculement Serveur MID . Dans ces clusters, plusieurs Serveurs MID sont regroupés pour la protection contre le basculement. Lors de la sélection d’une grappe à partir du formulaire d’entrée de données, la Serveur MID liste Grappes affiche uniquement les grappes de basculement.
    • La Serveur MID grappe ne doit inclure que Serveurs MID ceux qui prennent en charge l’authentification de base. mTLS n’est pas pris en charge pour l’ingestion de journaux.
    • L’ingestion de journaux doit être activée pour chaque Serveur MID élément de la grappe. Si l’ingestion de journal n’est pas activée pour l’actif Serveur MID, Analyse de l'intégrité des journaux l’active automatiquement.
    • Si Elasticsearch l’authentification par certificat client ou certificat CA est utilisée, tous les Serveurs MID membres de la grappe doivent disposer des certificats appropriés.
    • Le nombre maximal par défaut d'entrées de données qui diffusent des journaux vers un seul Serveur MID est de 10. Une grappe réussit la validation de capacité si elle en contient au moins une Serveur MID avec moins de 10 entrées de données en cours d’exécution, même lorsque celle-ci Serveur MID est hors service.
    Pour plus d’informations sur les grappes de serveur MID, consultez Configurer une grappe de serveur MID.

    Ce champ est obligatoire.
    Instance de service Instance de service à laquelle lier les données de journal. Ce champ est obligatoire.
    Remarque :
    S’il n’existe aucune instance de service pertinente, Créer un instance de service et y ajouter des CI. Définissez l’état de la nouvelle instance de service sur Opérationnel.

    Les champs suivants affichent des informations en lecture seule :

    Champ Description
    Statut État de l’entrée de données.
    Transport Protocole utilisé pour diffuser les données de journal.

    Cette entrée de données utilise Elastic pour diffuser les données du journal vers votre instance.
    Nombre de sources Nombre de sources de journal créées par cette entrée de données.
    Désactivé depuis Heure à laquelle l’entrée de données s’est arrêtée ou a échoué.
    Heure du dernier journal Heure à laquelle le dernier journal a été diffusé dans l’entrée de données.
    Tableau 1. Onglet Transport
    Champ Description
    URL serveur URL utilisée pour accéder à la grappe. Ce champ est obligatoire.
    Nbre max. de connexions par acheminement Nombre maximal de connexions à ouvrir par nœud. Par défaut : 2.
    Tranches de défilement maximum Nombre de partitions configurées pour l’index pertinent dans Elasticsearch.

    Ce nombre indique à Elastic le nombre de requêtes parallèles à exécuter dans chaque demande d’interrogation.
    Hôte proxy Nom d’hôte du proxy HTTP par lequel les demandes sont envoyées.
    Port proxy Port du proxy HTTP par lequel les demandes sont envoyées.
    Méthode d'authentification Méthode d’authentification utilisée pour authentifier l’entrée de données dans .Elasticsearch Les options sont les suivantes : authentification de base, apiKey ou certificat client.
    Remarque :
    Lorsque vous sélectionnez la méthode d’authentification requise, les champs d’informations d’identification correspondants s’affichent sur le formulaire.
    Informations d'identification pour l'authentification de base Nom d’utilisateur et mot de passe utilisés pour se Elasticsearch connecter au moteur de recherche.
    Remarque :
    Renseignez ce champ ou le champ Informations d’identification AWS .
    Informations d'identification AWS Informations d’identification AWS à utiliser pour se connecter au moteur de recherche hébergé Elasticsearch par AWS.
    Remarque :
    Renseignez ce champ ou le champ Informations d’identification pour l’authentification de base .
    Région AWS Région AWS où la grappe s’exécute Elasticsearch .
    Informations d’identification de clé API Clé API utilisée pour se connecter au moteur de Elasticsearch recherche.
    Certificat client Le certificat client utilisé pour se connecter au moteur de Elasticsearch recherche.
    Utiliser la vérification de la politique de certificat MID Option permettant d’activer la vérification de la politique de certificat MID.

    Sélectionnez cette option si vous souhaitez expédier vos journaux chiffrés à l’aide de SSL TLS. Accédez ensuite à Tous > Serveur MID > Politique de sécurité MID et ajoutez la vérification de la politique de certificat MID à la table. Pour plus d’informations, consultez Politiques de vérification des certificats de Serveur MID.
    Tableau 2. Onglet Paramètres de la requête
    Champ Description Exemple
    De/À Dates et heure de début et de fin de lecture des données.
    • De : ne lisez pas de données antérieures à cette date.
      Remarque :
      Définir cette valeur à une date passée peut nécessiter que le système lise de grandes quantités de données, ce qui entraîne une congestion.
    • À : ne pas lire de données antérieures à cette date. Pour les données en direct, définissez cette date loin dans le futur.
    		 De : 1970-01-01 15:59:59

    À : 2300-01-01 15:59:59
    Utiliser la recherche inter-grappes Option permettant de rechercher des données dans les Elasticsearch grappes.

    Lorsque cette case est cochée, le champ Grappes à rechercher s’affiche .

    Remarque :
    Les paramètres de la case à cocher Utiliser des privilèges minimaux et du champ Retard de lecture de l’horodatage actuel (secondes) du formulaire Configuration avancée affectent la façon dont les données sont collectées sur plusieurs clusters.
    Grappes à rechercher Grappes Elasticsearch à rechercher.

    Ce champ s’affiche uniquement lorsque la case Utiliser la recherche inter-grappes est cochée.

    Effectuez l'une des actions suivantes :
    • Laissez ce champ vide ou saisissez « * » pour rechercher toutes les grappes distantes définies dans Elasticsearch.
    • Spécifiez les clusters à rechercher dans une liste séparée par des virgules.
      Remarque :
      Pour rechercher également la grappe locale, ajoutez une virgule au début ou à la fin, ou ajoutez deux virgules successivement à la liste. Par exemple : « east,,west » ou « ,east,west » ou « * »,
    		 Est, Ouest, Sud
    Préfixe d'index Préfixe des Elasticsearch index à lire. L’entrée de données lit uniquement les index ayant ce préfixe. Ce champ est obligatoire. seulement-lisez-ces-index-*
    Utiliser des privilèges minimaux Option permettant de lire les Elasticsearch données de journal directement à partir des index avec le préfixe configuré.
    • Lorsque cette option est sélectionnée, l’entrée de données lit les données du journal directement à partir des Elasticsearch index avec le préfixe configuré. Pour effectuer cette tâche, il n’a besoin que de privilèges de lecture.
      Remarque :
      Lorsque cette case est cochée et que vous utilisez la recherche inter-grappes, les données sont collectées simultanément à partir de toutes les grappes.
    • Lorsque l’option n’est pas effacée, l’entrée de données extrait tous les index portant le préfixe, les filtre et lit les données de journal à partir des index filtrés. L’exécution de cette tâche nécessite des privilèges supplémentaires.
      Remarque :
      Si vous laissez cette case décochée lors de l’utilisation de la recherche inter-grappes, la façon dont les données sont collectées à partir des grappes. Pour plus d’informations, consultez l’article Activation et utilisation de la recherche inter-grappes pour les entrées de données Elasticsearch dans Analyse de l’intégrité des journaux [KB1556079] dans la Now Support base de connaissances.

    Pour plus d’informations sur la diffusion des journaux à l’aide de l’entrée de données, consultez l’article Diffuser les journaux à l’aide de l’entrée de données Elasticsearch - Guide avancé [KB1080162] dans la Now Support base de connaissances.Elasticsearch
    Champ d'horodatage de document Champ d'horodatage dans les documents stockés dans les index de lecture. Ce champ est obligatoire.
    Format du champ d'horodatage Format du champ d'horodatage dans les documents.

    Si aucun format n’est spécifié, le format d’heure Epoch Unix par défaut est utilisé, en millisecondes. Par exemple :

    1684168407 (15 mai 2023 16:33:27)

    		 aaaa-MM-jj’T’HH :mm :ss. SSSSSSS’Z'
    Filtres à terme Carte JSON des termes à filtrer.
    Remarque :
    Évitez d’utiliser le terme requête pour les champs de texte. Si le champ cible est mappé à la fois comme texte et comme mot clé, référencez le mot clé à l’aide de fieldname.keyword.
    		 {"severity » : ["error », « warning"]}
    Nombre maximal de documents par requête Nombre maximum de documents récupérés en une seule requête.
    Départage par l'option sliced-scrolling Valeur utilisée pour découper les données. Chaque tranche est défilée en parallèle. Par défaut : _id
    Départage par l'option rechercher après Valeur unique par document à utiliser comme départage lors du tri des entrées de journal par horodatage.
    Utiliser l'API search_after Option permettant de basculer entre les API défilement en tranches et rechercher après.
    Remarque :
    Les API à défilement en tranches sont préférables lors de la lecture de données historiques, tandis que les API search-after sont meilleures pour la lecture de données en temps réel.
    Format du suffixe temporel de l'index Format du suffixe temporel lors de l’utilisation de noms d’index basés sur le temps, tels que [logstash-]AAAA. MM.JJ.

    Lorsque vous utilisez des alias, laissez ce champ vide.

    		 uuuu.MM.dd

    Configuration avancée

    Tableau 3. Formulaire de configuration avancée
    Champ Description
    Délai de lecture de données (millisecondes) Durée, en millisecondes, avant l’expiration d’une demande à la Elasticsearch grappe.
    Intervalle de découverte d'index (en secondes) Nombre de secondes entre les demandes intermittentes Serveur MID adressées à la grappe pour de Elasticsearch nouveaux index à partir desquels lire des données.
    Temps de défilement du contexte (millisecondes) Durée de vie du défilement créé lors de l’utilisation de l’API de défilement pour lire les données à partir de Elasticsearch. Pour plus d’informations, consultez la Elasticsearch documentation de l’API scroll.
    Agents des processeurs d'événements Nombre maximal de cœurs de processeur utilisés en parallèle pour traiter les événements extraits de Elasticsearch. Un paramètre plus élevé augmente le débit d’entrée de données au prix d’une utilisation plus élevée du processeur.
    Taille de la file d'attente de l'agent Le nombre maximal de lots à mettre en file d'attente pour traitement. Un paramètre plus élevé augmente le débit, au prix d’une utilisation plus élevée de la RAM.
    Fuseau horaire par défaut Le fuseau horaire par défaut si la date et l’heure de l’événement n’incluent pas d’informations de fuseau horaire.
    Taux d'abandon du sous-échantillon Nombre d'événements à regrouper par lot, dont un sera ignoré. Ce paramètre permet de réduire le nombre d’événements extraits.
    Taux de réception de sous-échantillon Nombre d'événements à regrouper par lot, dont un sera ignoré. Ce paramètre permet de réduire le nombre d’événements reçus.
    Codage des caractères Le codage des caractères pour cette entrée de données.
    Intervalle de sommeil (en secondes) L'intervalle, en secondes, à attendre avant d'effectuer une nouvelle requête lorsqu'une requête n'a renvoyé aucune donnée.
    Longueur maximale en octets Longueur maximale, en octets, des messages de journal.
    Retard de lecture de l'horodatage actuel (secondes) Le nombre de secondes avant le délai de requête actuel pour inclure des données retardées.

    Le nombre de secondes configuré est soustrait de l’heure actuelle de lecture du dernier horodatage.

    Remarque :
    Si cette valeur est égale à 0 et que les données sont collectées à partir de plusieurs clusters simultanément, la requête peut ne pas inclure les données qui ont été envoyées avec un délai sur l’un des clusters,