Как установить Graylog на AlmaLinux 9

Graylog — это бесплатная и открытая платформа для управления журналами, предназначенная для захвата, хранения и обеспечения анализа ваших данных и журналов в реальном времени. Она написана на Java и построена на других открытых программных обеспечениях, таких как MongoDB и Elasticsearch. Graylog предоставляет одну из самых эффективных, быстрых и гибких платформ для централизованного управления журналами. С помощью Graylog вы можете отправлять и анализировать как структурированные, так и неструктурированные данные из почти любого источника данных.

В этом руководстве мы рассмотрим установку Graylog в качестве централизованной системы управления журналами на сервере AlmaLinux 9. Вы установите сервер Graylog, а затем настроите входные данные для клиентов, чтобы отправлять журналы на сервер Graylog.

Предварительные требования

Чтобы завершить это руководство, убедитесь, что у вас есть следующее:

• Сервер AlmaLinux 9 с как минимум 4 ГБ памяти — в данном случае мы будем использовать сервер AlmaLinux с 8 ГБ памяти и IP-адресом 192.168.10.20.
• Непривилегированный пользователь с правами администратора.

Настройка репозиториев

Чтобы начать это руководство, вы добавите новые репозитории на вашу машину AlmaLinux 9. Вы добавите репозиторий MongoDB 6.x, Opensearch 2.x и Graylog 5.x в вашу систему.

Сначала выполните команду dnf ниже, чтобы установить curl на вашу систему.

sudo dnf install curl -y

Теперь скопируйте и выполните следующую команду, чтобы добавить репозиторий MongoDB. Сервер Graylog требует как минимум MongoDB v6.x.

cat <

Затем выполните следующую команду, чтобы добавить репозиторий Opensearch. Opensearch является альтернативой Elasticsearch, который рекомендуется использовать в новой версии Graylog. В данном случае мы будем использовать Opensearch v2.x.

sudo curl -SL https://artifacts.opensearch.org/releases/bundle/opensearch/2.x/opensearch-2.x.repo -o /etc/yum.repos.d/opensearch-2.x.repo

Теперь выполните команду ниже, чтобы добавить репозиторий Graylog в вашу систему. На момент написания этой статьи последняя версия сервера Graylog — v5.1.

sudo rpm -Uvh https://packages.graylog2.org/repo/packages/graylog-5.1-repository_latest.rpm

Наконец, выполните команду dnf ниже, чтобы проверить доступные репозитории на вашем сервере AlmaLinux.

sudo dnf repolist

Если все прошло успешно, вы должны увидеть репозиторий MongoDB 6.x, Opensearch 2.x и сервер Graylog.

Установка зависимостей

После добавления репозиториев вы установите MongoDB 6.x и Opensearch 2.x через менеджер пакетов DNF. MongoDB будет использоваться для строковых данных, а Opensearch будет основным поисковым движком для сервера Graylog.

Выполните команду dnf ниже, чтобы установить MongoDB и Opensearch. Введите y, когда будет предложено подтвердить, затем нажмите ENTER.

sudo dnf install mongodb-org opensearch

После установки MongoDB и Opensearch выполните команду systemctl ниже, чтобы перезагрузить менеджер systemd.

sudo systemctl daemon-reload

Затем запустите и включите службу MongoDB, используя команду ниже.

sudo systemctl start mongod  
sudo systemctl enable mongod

Запустите и включите службу Opensearch, используя команду ниже.

sudo systemctl start opensearch  
sudo systemctl enable opensearch

Наконец, выполните команду ниже, чтобы проверить статус служб MongoDB и Opensearch. Если они работают, статус службы должен быть active (running).

sudo systemctl status mongod  
sudo systemctl status opensearch

Проверка статуса службы MongoDB.

Проверка статуса службы Opensearch.

Настройка Opensearch

Для развертывания Graylog рекомендуется использовать Opensearch в качестве основного поискового движка. Альтернативой Opensearch является Elasticsearch, но он поддерживает только Elasticsearch v7.x. В следующем разделе вы настроите Opensearch в качестве основного поискового движка для вашего сервера Graylog.

Сначала откройте конфигурационный файл Opensearch /etc/opensearch/opensearch.yml с помощью следующей команды редактора nano.

sudo nano /etc/opensearch/opensearch.yml

Уберите комментарий с параметра cluster.name и введите имя вашего кластера Opensearch, node.name и введите имя хоста вашей системы, затем network.host и введите ваш внутренний IP-адрес. В данном случае имя кластера будет graylog с именем хоста graylog-alma и IP-адресом 192.168.10.20 (это работает в локальной сети).

cluster.name: graylog  
node.name: graylog-alma  
network.host: 0.0.0.0

Добавьте следующие строки, чтобы настроить Opensearch как один узел/сервер, отключить auto_create_index и security plugin (только для тестирования).

discovery.type: single-node  
action.auto_create_index: false  
plugins.security.disabled: true

Сохраните файл и выйдите из редактора, когда закончите.

Теперь откройте файл /etc/opensearch/jvm.options с помощью редактора nano, чтобы настроить максимальное выделение памяти для службы Opensearch.

sudo nano /etc/opensearch/jvm.options

Измените значение по умолчанию для выделения памяти для вашей установки Opensearch. В данном случае Opensearch должен работать с максимальной памятью 2 ГБ.

-Xms2g  
-Xmx2g

Сохраните файл и выйдите из редактора после завершения.

Затем откройте файл /usr/lib/tmpfiles.d/opensearch.conf с помощью следующей команды редактора nano.

sudo nano /usr/lib/tmpfiles.d/opensearch.conf

Измените путь по умолчанию с /var/run/opensearch на /run/opensearch. Этот каталог будет использоваться для хранения дополнительных файлов, связанных с Opensearch, и будет создан автоматически через эту конфигурацию.

/run/opensearch

Сохраните и закройте файл, когда закончите.

После этого выполните следующую команду, чтобы увеличить vm.max_map_count до 262144. Это требуется для Opensearch, и чтобы сделать это постоянным, вы добавите новый параметр в файл /etc/sysctl.conf.

sudo sysctl -w vm.max_map_count=262144  
sudo echo 'vm.max_map_count=262144' >> /etc/sysctl.conf

Теперь выполните команду systemctl ниже, чтобы перезапустить службу Opensearch и применить изменения, которые вы внесли.

sudo systemctl restart opensearch

Opensearch должен работать на локальном IP-адресе вашего сервера, и в данном случае он работает на 192.168.10.20 с портом по умолчанию 9200.

Выполните команду curl ниже, чтобы получить доступ к вашей установке Opensearch.

curl 192.168.10.20:9200

Если конфигурация Opensearch успешна, вы должны увидеть подробную информацию о вашей установке Opensearch, как показано ниже:

На этом этапе Opensearch и MongoDB готовы. В следующем разделе вы начнете установку и настройку сервера Graylog.

Установка и настройка сервера Graylog

В этом разделе вы установите сервер Graylog v5.x на вашу машину AlmaLinux 9 и настроите Graylog как централизованное управление журналами для вашей инфраструктуры.

Выполните команду dnf ниже, чтобы установить пакет graylog-server. Введите y, чтобы подтвердить установку, и нажмите ENTER, чтобы продолжить.

sudo dnf install graylog-server

Введите y снова, чтобы добавить GPG-ключ репозитория Graylog.

После установки сервера Graylog выполните следующую команду, чтобы сгенерировать password_secret для сервера Graylog. Скопируйте случайную строку, которую вы сгенерировали.

< /dev/urandom tr -dc A-Z-a-z-0-9 | head -c${1:-96};echo;

Теперь выполните следующую команду, чтобы сгенерировать root_password_sha2 для вашего сервера graylog. Этот пароль будет использоваться для входа в панель управления Graylog.

echo -n