ELK日志分析系统

《ELK日志分析系统》由会员分享，可在线阅读，更多相关《ELK日志分析系统（42页珍藏版）》请在金锄头文库上搜索。

1、ELK 日志分析系统一、ELK日志分析系统介绍1.1传统的日志统计及分析方式日志主要包括系统日志、应用程序日志和安全日志。系统运维和开发人员可以 通过日志了解服务器软硬件信息、检查配置过程中的错误及错误发生的原因。经常 分析日志可以了解服务器的负荷，性能安全性，从而及时采取措施纠正错误。通常，日志被分散的储存不同的设备上。如果你管理数十上百台服务器，你还 在使用依次登录每台机器的传统方法查阅日志。这样是不是感觉很繁琐和效率低下。 当务之急我们使用集中化的日志管理，例如：开源的syslog，将所有服务器上的日 志收集汇总。集中化管理日志后，日志的统计和检索又成为一件比较麻烦的事情，一般我们 使用

2、 grep、awk 和 wc 等 Linux 命令能实现检索和统计，但是对于要求更高的查询、 排序和统计等要求和庞大的机器数量依然使用这样的方法难免有点力不从心。1.2 ELK介绍开源实时日志分析 ELK 平台能够完美的解决我们上述的问题， ELK 由 ElasticSearch、Logstash 和 Kiabana 三个开源工具组成。（1）、Elasticsearch 是个开源分布式搜索引擎，它的特点有：分布式，零配置 自动发现，索引自动分片，索引副本机制， restful 风格接口，多数据源，自动搜索 负载等。2）、Logstash 是一个完全开源的工具，可以对日志进行收集、过滤，并将其

3、存储供以后使用（如：搜索）。（3）、 Kibana 也是一个开源和免费的可视化工具，可以为 Logstash 和 ElasticSearch 提供的日志分析友好的 Web 界面，可以帮助汇总、分析和搜索重要 数据日志。1.2.1 Elasticsearch 介绍Elasticsearch是一个基于Apache Lucene（TM）的开源搜索引擎，Lucene是当前行 业内最先进、性能最好的、功能最全的搜索引擎库。但Lucene只是一个库。无法直 接使用，必须使用 Java 作为开发语言并将其直接集成到应用中才可以使用，而且 Lucene非常复杂，需要提前深入了解检索的相关知识才能理解它是如何工

4、作的。Elasticsearch 也使用 Java 开发并使用 Lucene 作为其核心来实现所有索引和搜索 的功能，但是它的目的是通过简单的RESTful API来隐藏Lucene的复杂性，从而让 全文搜索变得简单。但 Elasticsearch 不仅仅值是 Lucene 库和全文搜索，它还有以下用途：? 分布式的实时文件存储，每个字段都被索引并可被搜索? 分布式的实时分析搜索引擎? 可以扩展到上百台服务器，处理 PB 级结构化或非结构化数据1.2.2 Elasticsearch 基础概念Elasticsearch 有几个核心概念。从一开始理解这些概念会对整个学习过程有莫大 的帮助。（1）、

5、接近实时（NRT）Elasticsearch 是一个接近实时的搜索平台。意味着检索一个文档直到这个文档能 够被检索到有一个轻短暂的延迟（通常是 1 秒）。(2)、集群(cluster)集群就是由一个或多个节点组织在一起，它们共同持有整个的数据，并一起提 供索引和搜索功能。集群由一个唯一的名字标识，这个名字默认就是“elasticsearch”。 这个名字很重要，因为一个节点只能通过指定某个集群的名字，来加入这个集群。 在产品环境中显式地设定这个名字是一个好习惯，但是使用默认值来进行测试/开发 也可以。（ 3）、节点（ node）节点是值集群中的具体服务器，作为集群的一部分，它可存储数据，参与集

6、群 的索引和搜索功能。和集群类似，一个节点也是由一个名字来标识的，默认情况下， 这个名字是一个随机名字，这个名字会在服务启动时赋予节点。这个名字对于管理 者非常重要，因为在管理过程中，需要确定网络中的哪些服务器对应于 Elasticsearch 集群中的哪些节点。节点可以通过配置集群名称的方式来加入一个指定的集群。默认情况下，每个 节点都会被安排加入到一个叫做“elasticsearch，啲集群中，这意味着如果在网络中启 动了若干个节点，并假定它们能够相互发现彼此，那么各节点将会自动地形成并加 入到一个叫做“elasticsearch，啲集群中。在一个集群里，可以拥有任意多个节点。并且，如果当

7、前网络中没有运行任何Elasticsearch 节点，这时启动一个节点，会默认创建并加入一个叫做 “elasticsearch” 的集群。（ 4）、索引（ index）索引是指一个拥有相似特征的文档的集合。比如说，你可以有一个客户数据的 索引，另一个产品目录的索引，还有一个订单数据的索引。每个索引均由一个名字 来标识（必须全部是小写字母的），并且当要对对应于这个索引中的文档进行索引、 搜索、更新和删除的时候，都要使用到这个名字。“索引”有两个意思：A.作为动词，索引指把一个文档“保存”到ES中的过程，某个文档被索引后，就可以使用ES搜索到这个文档B.作为名词，索引指保存文档的地方，相当于数据库

8、概念中的“库”为了方便理解，我们可以将ES中的一些概念对应到我们熟悉的关系型数据库上:ES索引类型文档DB库表行在一个集群中，可以定义任意多的索引。（5）、类型（type）在一个索引中，可以定义一种或多种类型。类型是指索引的一个逻辑上的分类/分区，其语义可 自定义。通常情况下，会为具有一组共同字段的文档定义一个类型。比如说，我们假设运营一个博 客平台并且将所有的数据存储到一个索引中。在这个索引中，可以为用户数据定义一个类型，为博 客数据定义另一个类型，当然，也可以为评论数据定义另一个类型。（ 6）、文档（ document）文档是指可被索引的基础信息单元。比如，你可以拥有某一个客户的文档，某一

9、个产品的一个 文档，当然，也可以拥有某个订单的一个文档。文档以JSON （Javascript Object Notation）格式来表 示，而JSON是一个普遍存在的互联网数据交互格式。在一个 index/type 里面，可以存储任意多的文档。注意，尽管一个文档物理上存在于一个索引 之中，但文档必须被赋予一个索引的 type。（7）、分片和复制（shards & replicas）一个索引可以存储超出单个节点磁盘限制的大量数据。比如以下情况，一个具有 10 亿文档的索引占据 1TB 的磁盘空间，而集群中任一节点都没有这样大的磁盘空间；或者单个节点处理搜索请求，响应太慢。为了解决此问题，Ela

10、sticsearch提供了将索引划分成多份的能力，这些份就叫做 分片。当创建一个索引的时候，可以指定想要的分片的数量。每个分片本身也是 个功能完善并且独立的“索引”，这个“索引”可以被放置到集群中的任何节点上。分片之所以重要，主要有两方面的原因：A. 允许水平分割/扩展内容容量B. 允许在分片（潜在地，位于多个节点上）之上进行分布式的、并行的操作， 进而提高性能/吞吐量至于一个分片怎样分布，它的文档怎样聚合搜索请求，是完全由 Elasticsearch 管理的，用户对此是透明的。在一个网络/云的环境里，失败随时都可能发生，在某个分片/节点无原因就处 于离线状态，或者由于任何原因消失了的情况下，

11、 Elasticsearch 提供一个故障转 移机制，它允许你创建分片的一份或多份拷贝，这些拷贝叫做复制分片，或者直接 叫复制。复制之所以重要，有两个主要原因：A. 在分片/节点失败的情况下，提供了高可用性。因为这个原因，注意到复制分 片从不与原/主要（original/primary ）分片置于同一节点上是非常重要的。B. 扩展你的搜索量/吞吐量，因为搜索可以在所有的复制上并行运行 总之，每个索引可以被分成多个分片。一个索引也可以被复制 0 次（意思是没有复制）或多次。一旦复制了，每个索引就有了主分片（作为复制源的原来的分片） 和复制分片（主分片的拷贝）之别。分片和复制的数量可以在索引创建的

12、时候指定。 在索引创建之后，可以在任何时候动态地改变复制的数量，但是事后不能改变分片的数量。默认情况下，Elasticsearch中的每个索引被分片5个主分片和1个复制，这意味 着，如果你的集群中至少有两个节点，你的索引将会有 5 个主分片和另外5 个复制 分片（1 个完全拷贝），这样的话每个索引总共就有 10个分片。1.2.3 Logstash 介绍Logstash的主要功能是收集和过滤，类似于shell中的管道符“I”。它的工作过 程是将数据进行收集，并对收集的入职根据策略进行分类和过滤，最后进行输出.实际上， Logstash 是用不同的线程来实现收集、过滤、输出功能的，可运行 top

13、命令然后按下 H 键查看线程。数据在线程之间以事件的形式流传。并且， logstash 可以处理多行事件。Logstash会给事件添加一些额外信息。其中最重要的就是 timestamp，是用 来标记事件的发生时间。因为这个字段涉及到 Logstash 的内部流转，所以必须是 一个 json 对象，如果自定义给一个字符串字段重命名为 timestamp 的话， Logstash 会直接报错，那么就需要使用 filters/date 插件来管理这个特殊字段。额外信息还包 括以下几个概念：A. host 标记事件发生在哪里。B. type 标记事件的唯一类型。C. tags 标记事件的某方面属性。这

14、是一个数组，一个事件可以有多个标签。也可以自定义个事件添加字段或者从事件里删除字段。事实上事件本身就是是 一个 Ruby 对象。1.2.4 Kibana 介绍Kibana 是一个开源的分析与可视化平台，用于和 Elasticsearch 一起使用，可以 用 kibana 搜索、查看、交互存放在 Elasticsearch 索引里的数据，使用各种不同的图 表、表格、地图等 kibana 能够很轻易地展示高级数据分析与可视化。Kibana 对大量数据的呈现非常清晰。它简单、基于浏览器的接口能快速创建和 分享实时展现 Elasticsearch 查询变化的动态仪表盘。Kibana支持Linux、Wi

15、ndows等操作系统。版本要求：Kibana要求安装版本要和Elasticsearch 一致。Kibana版本Elasticsearch 版本是否支持5.X2.X不支持5.15.0不支持5.15.1支持5.15.2支持（会有提示升级的警告）5.1.05.1.1支持本次安装部署的Kibana版本为4.3.1版本，对应Elasticsearch版本为二 ELK 安装配置2.1 系统架构介绍此架构的工作流程是Logstash agent （shipper）监控并过滤客户端日志，将过滤 后的日志内容发给Redis（indexer），此处的Redis既充当消息队列的角色，由于其 优越的持久化机制也被用来做缓存，然后Logstash Server（indexer）从Redis的对应 位置拿出日志数据，并将其输出到 ElasticSearch 中， ElasticSearch 获取到数据后开 始生产索引，然后使用Kibana进行页面展示。这是一个完成的日志收集、存储、检 索流程。2.2 安装 ElasticsearchOS:Centos 6.5elk-node1：在两台主机上分别安装 Elasticsearch。准备工作：(1)、关闭防火墙、Selinux# iptables -F# chkconfig iptables off# setenforc