一、集中式日志

     日志可分为系统日志、应用日志以及业务日志，系统日志给运维人员使用，应用日志给研发人员使用，业务日志给业务操作人员使用。我们这里主要讲解应用日志，通过应用日志来了解应用的信息和状态，以及分析应用错误发生的原因等。

     随着系统的日益复杂，大数据时代的来临，需要几十甚至上百台的服务器是常有的事，因此迫切需要有一套针对日志、且能够集中式管理的产品。ELK 就实现了集中式日志管理平台，该平台统一涵盖了分布式日志收集、检索、统计、分析以及对日志信息的 Web 管理等集中化管控。

1.1、ELK 简介

     ELK 是 Elasticsearch、Logstash、Kibana 的简称，这三套开源工具组合起来能搭建一套强大的集中式日志管理平台。

     Elasticsearch 是个开源的分布式搜索引擎，提供搜索、分析、存储数据三大功能。它的特点有：分布式、自动发现、索引自动分片、索引副本机制、RESTful 风格接口、多数据源以及自动搜索负载等。

     Logstash 是一个开源的用来收集、解析、过滤日志的工具。支持几乎任何类型的日志，包括系统日志、业务日志和安全日志。它可以从许多来源接收日志，这些来源主要包括 Syslog、消息传递（例如 RabbitMQ）和 Filebeat；能够以多种方式输出数据，这些方式主要包括电子邮件、WebSockets 和 Elasticsearch。

     Kibana 是一个基于 Web 的友好图形界面，用于搜索、分析和可视化存储在 Elasticsearch 中的数据。它利用 Elasticsearch 的 RESTful 接口来检索数据，不仅允许用户定制仪表板视图，还允许他们以特殊的方式查询、汇总和过滤数据。

1.2、ELK 的架构

     下图是集中式日志管理 ELK 的架构图。出于性能的考虑，选择采用了 Beats+EK 的形式来组合搭建集中式日志管理系统。

    

                                                                           ELK 架构

 

二、配置方法

2.1、Elasticsearch

     Elasticsearch 部署完成后，需要更改 elasticsearch.yml 配置文件中的主要属性：cluster.name、node.name、network.host、discovery.zen.ping.unicast.hosts。其中，当部署 Elasticsearch 时是以集群模式部署的，那么 discovery.zen.ping.unicast.hosts 这个属性才会需要被配置。

2.2、Logstash

     通过配置 filebeat-pipeline.conf 文件中的 Input、Filter（可选）和 Output 来完成对数据的采集、过滤和输出，如下图所示：

     

                                        Logstash 配置

     然后以 filebeat-pipline.conf 文件启用 Logstash 服务，如下图所示：

      

                                                       启用 Logstash 服务

     备注：由于采用的是 Beats+EK 这个方案来实现集中式日志管理，所以不需要配 Logstash。

2.3、Kibana

     通过更改 kibana.yml 配置文件内容，用来连接正确的 Elasticsearch 服务地址，通常只需要配置 elasticsearch.url 属性即可，请见下图的第一个图。配置完成后，执行【bin/kibana &】命令启用 Kibana 服务，请见下图的第二个图。最后就可以在浏览器中打开 Kibana 管理页面（访问地址：http://139.198.13.12:4800/）来查看日志。

 

                                                       Kibana 的配置说明

 

                    &n