ELK学习笔记（一）安装Elasticsearch、Kibana、Logstash和X-Pack

最近在学习ELK的时候踩了不少的坑，特此写个笔记记录下学习过程。

日志主要包括系统日志、应用程序日志和安全日志。系统运维和开发人员可以通过日志了解服务器软硬件信息、检查配置过程中的错误及错误发生的原因。经常分析日志可以了解服务器的负荷，性能安全性，从而及时采取措施纠正错误。

通常，日志被分散的储存不同的设备上。如果你管理数十上百台服务器，你还在使用依次登录每台机器的传统方法查阅日志。这样是不是感觉很繁琐和效率低下。当务之急我们使用集中化的日志管理，例如：开源的syslog，将所有服务器上的日志收集汇总。

集中化管理日志后，日志的统计和检索又成为一件比较麻烦的事情，一般我们使用grep、awk和wc等Linux命令能实现检索和统计，但是对于要求更高的查询、排序和统计等要求和庞大的机器数量依然使用这样的方法难免有点力不从心。

开源实时日志分析ELK平台能够完美的解决我们上述的问题，ELK由ElasticSearch、Logstash和Kiabana三个开源工具组成。官方网站： https://www.elastic.co/products

Elasticsearch是个开源分布式搜索引擎，它的特点有：分布式，零配置，自动发现，索引自动分片，索引副本机制，restful风格接口，多数据源，自动搜索负载等。
Logstash是一个完全开源的工具，他可以对你的日志进行收集、过滤，并将其存储供以后使用（如，搜索）。
Kibana 也是一个开源和免费的工具，它Kibana可以为 Logstash 和 ElasticSearch 提供的日志分析友好的 Web 界面，可以帮助您汇总、分析和搜索重要数据日志。

Elastic Stack 是原 ELK Stack 在 5.0 版本加入 Beats 套件后的新称呼。

Elastic Stack 在最近两年迅速崛起，成为机器数据分析，或者说实时日志处理领域，开源界的第一选择。和传统的日志处理方案相比，Elastic Stack 具有如下几个优点：

处理方式灵活。Elasticsearch 是实时全文索引，不需要像 storm 那样预先编程才能使用；
配置简易上手。Elasticsearch 全部采用 JSON 接口，Logstash 是 Ruby DSL 设计，都是目前业界最通用的配置语法设计；
检索性能高效。虽然每次查询都是实时计算，但是优秀的设计和实现基本可以达到全天数据查询的秒级响应；
集群线性扩展。不管是 Elasticsearch 集群还是 Logstash 集群都是可以线性扩展的；
前端操作炫丽。Kibana 界面上，只需要点击鼠标，就可以完成搜索、聚合功能，生成炫丽的仪表板。

安装准备：

先安装官方新版的Java，包括对应的Jdk并配置好环境变量，下载并解压Elasticsearch，Logstash，Kibana。

安装Elasticsearch：

1.编辑config/elasticsearch.yml文件

2.修改如下两个参数

cluster.name: es

network.host: 0.0.0.0

3.创建用户（ Elasticsearch为了安全考虑，不让使用root启动）

创建一个用户组：elasticsearch（groupadd elasticsearch）

创建属于elasticsearch用户组的用户elasticsearch并将其加入到elasticsearch用户（useradd elasticsearch -g elasticsearch -p password）

将elasticsearch目录所属的用户和用户组修改为我们自己创建的用户和用户组（chown -R elasticsearch:elasticsearch elasticsearch-5.4.0）

4.保证虚拟机内存足够，Elasticsearch默认需要2g内存。

5.安装X-Pack

X-Pack是一个Elastic Stack的扩展，将安全，警报，监视，报告和图形功能包含在一个易于安装的软件包中。在Elasticsearch 5.0.0之前，您必须安装单独的Shield，Watcher和Marvel插件才能获得在X-Pack中所有的功能。（安装需要点时间，请耐心等待）

bin/elasticsearch-plugin install x-pack

6.启动Elasticsearch并访问

安装LogStash：

在终端中，像下面这样运行命令来启动 Logstash 进程：

bin/logstash -e 'input{stdin{}}output{stdout{codec=>rubydebug}}'

待到启动成功后

你会发现终端在等待你的输入。没问题，敲入 Hello World，回车，然后看看会返回什么结果！

结果：

部分解释：

Logstash 会给事件添加一些额外信息。最重要的就是 @timestamp，用来标记事件的发生时间。因为这个字段涉及到 Logstash 的内部流转，所以必须是一个 joda 对象，如果你尝试自己给一个字符串字段重命名为 @timestamp 的话，Logstash 会直接报错。

此外，大多数时候，还可以见到另外几个：

host 标记事件发生在哪里。
type 标记事件的唯一类型。
tags 标记事件的某方面属性。这是一个数组，一个事件可以有多个标签。

安装Kibana：

1.安装X-Pack

bin/kibana-plugin install x-pack

安装过程会比较久，耐心等待。

2.修改配置文件(config/kibana.yml)

server.host: 192.168.25.129 (你安装Kibana当前机子的IP)

elasticsearch.url: "http://127.0.0.1:9200" (ES的地址)

kibana.index: ".kibana" (索引名称)

elasticsearch.username: "elastic" (用户名）
elasticsearch.password: "changeme" (密码）

3.启动Kibana, 访问5601端口