如何在日志收集器上分配磁盘空间
Symptom
空间去哪儿了？
A 日志收集器部署有 4 个 1TB 磁盘对。 这GUI报告 3.23TB可以通过配额分配的总空间。 各种各样的CLI命令显示不同的值GUI. 这里发生了什么？ 您实际有多少空间用于日志？
Cause
空间是怎么分配的？
有几个因素会影响磁盘上有多少空间用于 Elasticsearch 中的日志。 下图解释了将磁盘或磁盘对添加到日志收集器时空间的去向。
Resolution
总尺寸
在这个例子中，一个 1TB磁盘被添加到日志收集器。 从一开始就可以看出磁盘大小 (1TB ) 和操作系统看到的空间量 (917GB ). 这种差异是由几个因素造成的：
- 文件系统开销：在磁盘上创建文件系统会产生一些开销，但很小。
- 1000 与 1024 字节/千字节：硬盘驱动器制造商计算 1000 字节/千字节，而操作系统使用 1024 字节/千字节。 这是我们在上面看到的差异的最大来源。 您实际上仍然拥有相同数量的可用字节，硬盘驱动器制造商只是以不同的方式计算千字节。
Logd 格式化日志
三分之一 (~33%) 的可用磁盘空间分配给 logd 格式的日志。 logd 格式是在引入 Elasticsearch 之前使用的格式。 8.0以后，存储logd格式的日志，只支持升级和降级。 没有为这些日志生成索引。
弹性搜索
三分之二 (~66%) 的可用磁盘空间分配给 Elasticsearch 使用。 针对此分配的空间应用配置的配额。 在上图中可以看到，默认配额百分比适用于分配给 Elasticsearch 的总磁盘空间的 66%。
检查磁盘使用情况 CLI
要检查整体磁盘使用情况：
>> 显示系统磁盘空间
该命令将显示PAN-OS等同于 Unix 的“df -h”命令。 包括每个挂载的使用情况统计信息。 日志磁盘安装在 /opt/panlogs/ 上：
查看日志磁盘的“大小”列显示操作系统将磁盘视为 917GB由于每千字节 1000 字节与 1024 字节的差异。
通过 Elasticsearch 检查使用情况
>> 显示系统搜索引擎配额
此命令将显示 Elasticsearch 的磁盘分配状态（总磁盘大小的 66%）：
通过 logd 检查使用情况
>> 显示系统 logdb 配额
此命令将显示用于存储 logdb 格式日志的空间（总磁盘大小的 33%）：