1.ELK簡介

ELK是三個開源軟體的縮寫，分別表示：Elasticsearch , Logstash, Kibana , 它們都是開源軟體。新增了一個FileBeat，它是一個輕量級的日誌收集處理工具(Agent)，Filebeat佔用資源少，適合於在各個伺服器上搜集日誌後傳輸給Logstash，官方也推薦此工具。

Elasticsearch是個開源分散式搜尋引擎，提供蒐集、分析、儲存資料三大功能。它的特點有：分散式，零配置，自動發現，索引自動分片，索引副本機制，restful風格介面，多資料來源，自動搜尋負載等。
Logstash 主要是用來日誌的蒐集、分析、過濾日誌的工具，支援大量的資料獲取方式。一般工作方式為c/s架構，client端安裝在需要收集日誌的主機上，server端負責將收到的各節點日誌進行過濾、修改等操作在一併發往elasticsearch上去。
Kibana 也是一個開源和免費的工具，Kibana可以為 Logstash 和 ElasticSearch 提供的日誌分析友好的 Web 介面，可以幫助彙總、分析和搜尋重要資料日誌。
Filebeat隸屬於Beats。目前Beats包含四種工具： Packetbeat（蒐集網路流量資料）,Topbeat（蒐集系統、程序和檔案系統級別的 CPU 和記憶體使用情況等資料）,Filebeat（蒐集檔案資料）,Winlogbeat（蒐集 Windows 事件日誌資料）
2.安裝logstash

1.拉取映象

docker pull logstash:5.6.11
2.建立目錄

mkdir /docker/logstash
cd /docker/logstash
3.建立配置檔案

touch logstash.config
檔案內容：
input
{
udp
{
port => 8888
codec => json
}
}
output
{
elasticsearch{
hosts => "192.168.186.129:9200"
index => "indextest"
}
stdout{
codec => rubydebug
}
}
4.建立，啟動logstash容器

docker run -p 8888:8888/udp -d -v /docker/logstash:/config-dir logstash:5.6.11 -f /config-dir/logstash.conf
3.安裝elasticsearch

1.拉取映象

docker pull elasticsearch:5.6.11

2.建立資料目錄

mkdir /docker/es && mkdir /docker/es/data

3.建立ES容器並啟動

docker run -d -p 9200:9200 -p 9300:9300 \
-v /docker/es/data:/usr/share/elasticsearch/data \
elasticsearch:5.6.11

4.測試

圖片描述(最多50字)

5.啟動問題排查

預設啟動ES分配2G記憶體，如提示記憶體不足，可進行修改

find /var/lib/docker/overlay/ -name jvm.options

查到如下結果：

/var/lib/docker/overlay2/1fb59070a037d02dccfc33e15d6e24cf9127882cc19521a1654192d3d3b1c7ec/diff/etc/logstash/jvm.options
/var/lib/docker/overlay2/d2b9e8e913dff7c015cbb27b34ca4b9921bdd43869a1bfb1413af468cb14465e/diff/etc/elasticsearch/jvm.options
/var/lib/docker/overlay2/dd2634a4b14f8ef455ae969466af25d147f508c0e9785bb3e7703eb933675ecf/merged/etc/logstash/jvm.options

修改elasticsearch/jvm.options

把
-Xms2g 改為 -Xms512m
-Xmx2g 改為 -Xmx512m

6.安裝IK分詞器

a.docker exec -it 容器ID
b.elasticsearch-plugin install https://github.com/medcl/elasticsearch-analysis-ik/releases/download/v5.6.11/elasticsearch-analysis-ik-5.6.11.zip
重啟容器載入IK分詞器時候會儲存，IK分詞器下缺少配置檔案，沒搞明白為什麼5.6.11安裝的IK外掛缺少了，宿主機下載瞭解壓後Copy到容器中
docker cp ik/config 容器ID:/usr/share/elasticsearch/plugins/analysis-ik
重啟容器

測試安裝的分詞器：

GET _analyze?pretty
{
"analyzer": "ik_smart",
"text": "×××國歌"
}

4.安裝kibana

1.拉取kibana映象

docker pull kibana:5.6.11

2.建立kibana容器並啟動

docker run -p 5601:5601 -e ELASTICSEARCH_URL=http://192.168.186.129:9200 -d kibana:5.6.11

3.測試

圖片描述(最多50字)