运维与安全：ILM、快照、RBAC 与监控

这一课你将能做到

1. 写一个 ILM 策略：hot 阶段 rollover，warm 阶段收缩，到期自动删除；并把索引模板挂到策略上
2. 配置快照仓库并用 SLM 定时备份题库，能完成一次恢复演练
3. 用角色 + API Key 做最小权限控制，说出磁盘水位、滚动重启、JVM 堆三个运维红线

为什么要学

开发交付的搜索功能要「活下去」：磁盘满了集群会自动只读、误删数据没有备份就无法挽回、应用拿着超级用户密码连接是定时炸弹。运维不是上线后才想的事——索引第一天就要规划生命周期（数据怎么滚动、何时归档），第一天就该有备份。对求职而言，「说得出 ILM、快照、水位线」是区分「只会调接口」和「能扛服务」的分界线。

人话：ILM（Index Lifecycle Management）是索引的「自动人生规划」——新数据在热层高速读写，变老后挪到便宜的机器，过期自动删。快照是「后悔药」，SLM 让后悔药每天自动吃一次。RBAC 保证「搜索服务账号只能搜题、不能删库」。

先建立图像

ILM 五阶段：

hot    可读写，活跃数据；触发 rollover（按大小/文档数/存在时间）→ 新建索引
warm   只读，可 shrink（收缩分片）、force merge，挪到 warm 节点
cold   只读，更少副本，查询可接受更慢
frozen 可搜索快照，几乎不占本地存储
delete 自动删除

本站题库的简化策略（数据小、长期保留）：

hot：rollover 当索引 ≥ 10GB 或 满 30 天
delete：保留 365 天后删（也可不删，按合规定）

安全与备份全景：

快照仓库（共享文件系统/对象存储 S3、OSS、COS）
  ← SLM 定时 PUT 快照
RBAC：用户名密码 / API Key / Service Account
监控：_cat API、Stack Monitoring、告警规则

跟着做

步骤 1：创建 ILM 策略

curl -u elastic:abcd1234 -X PUT "_ilm/policy/questions_policy" -H "Content-Type: application/json" -d'
{
  "policy": {
    "phases": {
      "hot": {
        "actions": {
          "rollover": {
            "max_primary_shard_size": "10gb",
            "max_age": "30d"
          }
        }
      },
      "warm": {
        "min_age": "2d",
        "actions": {
          "shrink": { "number_of_shards": 1 },
          "forcemerge": { "max_num_segments": 1 }
        }
      },
      "delete": {
        "min_age": "365d",
        "actions": { "delete": {} }
      }
    }
  }
}'

要让 rollover 滚动起来，索引名要按序列命名（如 questions-000001），并通过索引模板把别名 questions 指向它，应用始终读写别名：

curl -u elastic:abcd1234 -X PUT "_index_template/questions_tpl" -H "Content-Type: application/json" -d'
{
  "index_patterns": ["questions-*"],
  "template": {
    "settings": {
      "number_of_shards": 1,
      "number_of_replicas": 1,
      "index.lifecycle.name": "questions_policy",
      "index.lifecycle.rollover_alias": "questions"
    },
    "aliases": { "questions": {} }
  }
}'

# 用别名引导第一个索引
curl -u elastic:abcd1234 -X PUT "questions-000001" -H "Content-Type: application/json" -d'
{
  "aliases": {
    "questions": { "is_write_index": true }
  }
}'