こんにちは、技術本部のtakaです。
先日、Sumo logic公式のリリースノートで公開された新機能Scan Budgetをご存じでしょうか？
https://help.sumologic.com/release-notes-service/2024/10/29/manage/
Scan Budget機能は、1クエリ検索ごとや期間ごとのクエリ検索によるスキャンされるデータ量・クレジット消費の上限を設定することができ、クレジットの超過を防ぐことができます。
特に、Flexプランをご利用のSumo logicユーザにぜひ設定していただきたい機能となっています。
本記事では、Scan Budget機能の設定方法や手順、そもそもFlexプランとはどんなメリットがあるのかをご紹介させていただきます。
なお、この機能を使い、組織全体に1か月分のクレジット制限を掛けるといった時間ベースでの制限は現状Sumo logicでリリースされていません。
こちらがリリースされ次第、別途記事でご案内させていただきます。
Scan Budget機能が時間ベースでスキャン上限を掛けられるようになりました。
詳細は以下の記事をご覧ください。
https://cloudsolution.terilogy.com/blog/sumologic_time-based-scan-budget
Scan Budget機能とは
https://help.sumologic.com/docs/manage/manage-subscription/usage-management/
Scan Budget機能とは、1クエリ検索ごとや期間ごとのクエリ検索によるスキャンされるデータ量・クレジットの上限を設定する機能です。
この機能の対象はクエリ検索にクレジットの消費がされるものであるため、- ・Flexプランのテナント上での検索
- ・Enterprise SuiteプランのInfrequentデータ層を対象とした検索
が対象となります。
Scan Budget機能は、特定のユーザに対して上限を設定できるのは勿論、テナント全体やロールごとに設定することができます。
このデータ量・クレジットの上限を超過した際の動作として、Scan Budget機能の設定中から『警告の表示』、『バックグラウンド検索のみを許可』を選択できます。
このバックグラウンド検索とは、APIやSLOのほか、Scheduled Search・モニターといったユーザが能動的に手を動かすものではないクエリ検索を指しています。
Flexプランとは
Flexプランは2024年にリリースされたプランです。
現在のSIEM製品の中では独特な費用体系となっています。
このプランでは、データの取り込み自体にはクレジットの消費がされずに、クエリ検索時に発生するデータスキャンやデータストレージに対してクレジットが消費されます。
SIEM製品を使って効果的なデータ分析を実施するためには、多くのデータソースからログデータを取り込み、突合させて可視化させる必要があります。
ただ、一般的なSIEM製品では取り込み自体に費用が掛かってしまうことから諦めるお客様が多くいらっしゃいます。
このジレンマをSumologicのFlexプランでは解消することができます。
2023年時点でガートナーが以下の分析をしている通り、企業でのデータソースやデータの種類は増加傾向にあり、ますますFlexプランでの価格的なメリットを感じていただけるかと思います。
https://www.gartner.co.jp/ja/newsroom/press-releases/pr-20230405
設定手順
まず、Scan Budgetを設定するページには、左側メインメニューの[Administration]＞[Account]＞[Usage Management]＞[Advanced]＞[＋Create Scan Budget]をクリックしてください。
上記のように遷移した後、以下の①～④に沿って設定し、[Save]をクリックしてください。
①～④それぞれの設定は、以下の通りです。
- Scope：Scan budgetを適用するユーザまたはロール名を設定
Scopeに含まれる一部ユーザを適用外としたい場合は、チェックボックスExclude users/roles from the budgetをクリックし、ユーザまたはロールを入力。
- Capacity：クエリごとにスキャンされるログデータ量の上限を設定
こちらの上限については、下側のTo view the top 10 queries by size Click hereをクリックすることで表示されるクエリの結果をご参照の上、設定してください。
実行されるクエリは、直近14日間に実行されたクエリの中でスキャンされたデータ量が多い順で10個表示されるものとなります。
- Action：Capacityで設定した上限を超えた際に実施する動作を設定
動作については、以下二つの設定をラジオボタンから設定することができます。
・Show Warning to the user ：警告メッセージの表示
・Only allow background query scans：バックグラウンド検索のみを許可
なお、警告は以下のように表示されます。
塗りつぶされている部分がユーザやロール名となります。
- Details：Scan budget名の設定
最後に
今回、Scan Budgetの機能について解説しました。
ご紹介した機能は勿論、それ以外でも、何かSumo logicについてご不明点等ございましたらお気軽に弊社へお問い合わせください。
本記事冒頭でも記載した通り、Scan Budget機能が時間ベースでスキャン上限を掛けられるようになりました。
詳細は以下の記事をご覧ください。
https://cloudsolution.terilogy.com/blog/sumologic_time-based-scan-budget
最後までお付き合いいただきありがとうございました。
