Ce guide s’inscrit dans le parcours FortiAnalyzer 7.6 Administrator. Le périmètre étudié est FortiAnalyzer 7.6 ; adaptez les essais aux fonctions et licences de votre environnement de lab.
Comprendre le fonctionnement
Les ADOM organisent les équipements et les accès, mais servent aussi à gérer les politiques de données et les ressources associées. Le stockage ne se résume pas à un nombre de jours : volume quotidien, quotas, données d’archive et données exploitables pour l’analyse doivent être considérés ensemble.
La durée réellement conservée peut être inférieure à l’objectif si l’espace alloué ne suffit pas. À l’inverse, conserver une archive ne garantit pas que toute la période soit immédiatement disponible dans les recherches et rapports. Vérifiez les politiques de données et l’état des bases plutôt que d’interpréter un seul compteur.
La HA améliore la disponibilité suivant les capacités et le fonctionnement du cluster de la version. Elle ne protège pas à elle seule contre une erreur répliquée, un mauvais paramétrage de rétention ou une suppression légitime mais regrettée.
Les repères à distinguer
Estimez le besoin à partir de mesures représentatives, y compris les pointes. Un calcul de volume est une approximation de capacité, pas une garantie de performance ni un débit supporté annoncé.
| Élément | Question |
|---|---|
| Volume | Combien de données sont reçues par jour ? |
| Quota ADOM | Quel espace peut réellement utiliser ce périmètre ? |
| Analyse | Quelle période doit être consultable rapidement ? |
| Archive | Quelle conservation et quelle récupération sont nécessaires ? |
| HA | Quel service doit continuer après la perte d’un membre ? |
Un scénario pour pratiquer
Utilisez deux périodes de trafic différentes pour observer le stockage.
- Relever le volume journalier et les quotas du lab.
- Comparer les durées configurées et les données effectivement accessibles.
- Préparer un test de disponibilité en vérifiant les paramètres et services du cluster.
- Après le test, vérifier collecte, recherches et rapports ; conserver une sauvegarde indépendante.
Diagnostiquer sans sauter les étapes
Ne réduisez pas la rétention uniquement pour faire disparaître une alerte disque. Évaluez d’abord le périmètre qui consomme l’espace et les exigences de conservation.
| Observation | Vérification utile |
|---|---|
| Période recherchée absente | Politique d’analyse et d’archive |
| Quota saturé | Volume reçu, allocation et croissance |
| Cluster présent mais collecte interrompue | État des membres et chemin vers le service actif |
| Upgrade prévu | Compatibilités et procédure de cluster |
À vous de raisonner
Le quota augmente mais les logs anciens ont déjà été supprimés. Vont-ils réapparaître ?
Voir le corrigé
Non. Un quota plus grand peut éviter de nouvelles suppressions, mais ne recrée pas les données effacées. Leur récupération dépend d’une copie conservée et d’une procédure adaptée.
Pour approfondir
Continuer le parcours
Retrouver les 4 guides du parcours FortiAnalyzer 7.6 Administrator
Relier ce parcours à d’autres sujets
- FortiManager 7.6 Administrator — Organiser les ADOM, importer les FortiGate et maîtriser le cycle de configuration, de validation et d’installation.
- FortiAnalyzer 7.6 Analyst — Passer des logs à une investigation : événements, indicateurs, incidents, threat hunting, rapports et playbooks.
Tous les parcours Fortinet · Tous les articles Fortinet · L’accompagnement Fortinet de Samhan