elk是一個開源的日誌分析系統。由Elasticsearch、Logstash、Kibana三部分組成

Elasticsearch:是一個基於Lucene的搜索服務器， 特點就是分布式，開源，實時搜索，穩定快速，安裝使用方便 java

Logstash：將對日誌進行收集，分析並存儲的工具 ruby

kibana：為logstash和ElasticSearch提供日誌搜索、分析的web界面。更好的展示出來。

安裝：： （根據官網提示安裝）

https://www.elastic.co/guide/en/elasticsearch/reference/current/index.html

https://www.elastic.co/guide/en/logstash/current/index.html

https://www.elastic.co/guide/en/kibana/current/index.html

首先安裝java環境：

[[email protected] ~]# yum -y install java-1.8.0-openjdk-devel java-1.8.0-openjdk

先下載Elasticsearch工具yum源的key：

[[email protected] ~]# rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch

配置yum源：

[[email protected] ~]# tee /etc/yum.repos.d/elasticsearch.repo  << EOF
[logstash-5.x]
name=Elastic repository for 5.x packages
baseurl=
gpgkey=
enabled=1
autorefresh=1
type=rpm-md
EOF

安裝elk：

[[email protected] ~]# yum install logstash elasticsearch kibana

yum安裝路徑為：/usr/share/下

三個插件一個一個配置：

1、elasticsearch：修改elasticsearch配置文件：

啟動elasticsearch：

[[email protected] ~]# systemctl daemon-reload
[[email protected] ~]# systemctl enable elasticsearch.service
[[email protected] ~]# systemctl start elasticsearch.service
[[email protected] ~]# systemctl status elasticsearch
● elasticsearch.service - Elasticsearch
   Loaded: loaded (/usr/lib/systemd/system/elasticsearch.service; enabled; vendor preset: disabled)
   Active: active (running) since Mon 2017-06-26 20:56:24 CST; 7min ago
     Docs: http://www.elastic.co
 Main PID: 1156 (java)
   CGroup: /system.slice/elasticsearch.service
           └─1156 /bin/java -Xms2g -Xmx2g -XX:+UseConcMarkSweepGC -XX:CMSInitiatingOccupancyFraction=75 -XX:+UseCMSInitiatingOccupa...
Jun 26 20:56:24 node1 systemd[1]: Starting Elasticsearch...
Jun 26 20:56:24 node1 systemd[1]: Started Elasticsearch.
Jun 26 21:03:17 node1 systemd[1]: Started Elasticsearch.

使用瀏覽器訪問驗證：

2、kibana：配置文件：

啟動kibana：

3、logstash配置：

logstash中最麻煩也是重要的配置文件是conf結尾的文件。主要有input（數據來源）、filter（過濾數據）、output（輸出數據）三個字段組成。

在logstash的家目錄創建三個文件夾。分別用來存放日誌，conf配置文件和logstash服務主配置

[[email protected] ~]# mkdir /usr/share/logstash/{etc,config,logs}
[[email protected] ~]# cp /etc/logstash/log4j2.properties /usr/share/logstash/config/
[[email protected] ~]# cp /etc/logstash/logstash.yml  /usr/share/logstash/config/
[[email protected] ~]# cat /usr/share/logstash/etc/message.conf
input {
    file {
        path => "/var/log/messages"
    }
}
output {
    elasticsearch {
        host => ["192.168.199.17:9200"]
          index => "message-%{+YYYY.MM.dd}"
    }
}

啟動logstash

啟動沒有報錯，就在web界面配置索引。並查看獲取到的數據

日誌數據出來就算是配置完了。

感言：

剛剛接觸elk，簡單搭建了一下，搭建挺簡單的。只要思路有了，工作原理弄明白了。也就沒有那麽難了。在elk中最難的還是logstash中的過濾。要想深入elk，必須要掌握logstash中的語法，ruby語法。

本文出自 “努力奔小康” 博客，請務必保留此出處http://302876016.blog.51cto.com/12889292/1942300

centos7使用yum安裝elk