docker elk

一、核心组成

ELK由Elasticsearch、Logstash和Kibana三部分组件组成；

Elasticsearch是个开源分布式搜索引擎，它的特色有：分布式，零配置，自动发现，索引自动分片，索引副本机制，restful风格接口，多数据源，自动搜索负载等。

 

Logstash是一个彻底开源的工具，它能够对你的日志进行收集、分析，并将其存储供之后使用

 

kibana 是一个开源和免费的工具，它能够为 Logstash 和 ElasticSearch 提供的日志分析友好的 Web 界面，能够帮助您汇总、分析和搜索重要数据日志。

二、四大组件

Logstash: logstash server端用来搜集日志；

 

Elasticsearch: 存储各种日志；

 

Kibana: web化接口用做查寻和可视化日志；

 

Logstash Forwarder: logstash client端用来经过lumberjack 网络协议发送日志到logstash server；

 

三、ELK工做流程

在须要收集日志的全部服务上部署logstash，做为logstash agent（logstash shipper）用于监控并过滤收集日志，将过滤后的内容发送到Redis，而后logstash indexer将日志收集在一块儿交给全文搜索服务ElasticSearch，能够用ElasticSearch进行自定义搜索经过Kibana 来结合自定义搜索进行页面展现。

 

修改/etc/sysctl.conf。要永久设置vm.max_map_count值，

vm.max_map_count = 262144

而后执行sysctl -p 请更新中的设置要在从新启动后进行验证，请运行sysctl vm.max_map_count。