О кластере ClickHouse

Кластер ClickHouse – логическая группа устройств, включающая в себя шарды, реплики и киперы, которые совместно обеспечивают хранение всех нормализованных событий Kaspersky SIEM, их репликацию и координацию работы кластера. Кластер может включать один или несколько шардов.

Шард – логическая группа устройств, содержащих часть всех накопленных в кластере нормализованных событий. Увеличение количества шардов позволяет:

• Накапливать больше событий за счет увеличения общего количества серверов и дискового пространства.
• Обрабатывать больший поток событий за счет распределения нагрузки при записи новых событий.
• Уменьшать время поиска событий за счет распределения поисковых зон между несколькими устройствами.

Шард может включать одну или несколько реплик.

Реплика – устройство, входящее в состав шарда и содержащее копию его данных. Если реплик несколько, то копий тоже будет несколько (данные реплицируются). Увеличение количества реплик позволяет:

• Повысить отказоустойчивость.
• Распределить нагрузку, связанную с поиском данных, между несколькими устройствами.

Кипер – устройство, участвующее в координации репликации данных на уровне всего кластера. Для кластера требуется как минимум один кипер. Количество киперов должно быть нечетным. Рекомендуется использовать три устройства с ролью кипера. Роли кипера и реплики можно совмещать.

Перед созданием узлов кластера ClickHouse убедитесь в наличии сетевой связности между компонентами системы и откройте необходимые сетевые порты.