介绍

“ELK”是三个开源项目的首字母缩写，这三个项目分别是：Elasticsearch、Logstash 和 Kibana。Elasticsearch 是一个搜索和分析引擎。Logstash 是服务器端数据处理管道，能够同时从多个来源采集数据，转换数据，然后将数据发送到诸如 Elasticsearch 等“存储库”中。Kibana 则可以让用户在 Elasticsearch 中使用图形和图表对数据进行可视化。

目前最新的名字叫 Elastic Stack 是 ELK Stack 的更新换代产品。（增加了Beats）

注意：本文章主要用于syslog类型的日志收集，取消ES的加密访问是为了方便接入frostmourne进行日志告警。

安装环境

系统： AlmaLinux 9 （关闭SE Linux）

软件版本，使用ELK 8.X

也适用于其他RHEL衍生版系统：如centos stream、rockylinux。

PS: 参考 https://www.skynemo.cn/archives/base-on-centos79-install-elasticsearch81-standalone-and-config#

官网文档：https://www.elastic.co/guide/en/elasticsearch/reference/master/rpm.html

官网下载地址

Download Elasticsearch | Elastic

下载RPM包

使用清华大学镜像源进行安装

1
2
3
4
5
6
7
[elasticsearch]
name=Elasticsearch repository for 8.x packages
baseurl=https://mirrors.tuna.tsinghua.edu.cn/elasticstack/8.x/yum
gpgcheck=0
enabled=1
autorefresh=1
type=rpm-md

#创建elasticsearch.repo 至 /etc/yum.repos.d/中，注意安装前检查SELinux是否关闭。

#注意：关闭了GPG认证

PS: 使用 RPM |安装 Elasticsearch弹性搜索指南 [8.3]

dnf install elasticsearch logstash kibana

使用dnf进行安装

systemctl enable --now elasticsearch.service kibana.service logstash.service

#启动并设定开机启动。

默认初始化配置

使用dnf安装的时候，需要检查输入日志，会有类似以下的输出。

默认开启HTTPS，并生成默认管理员账号elastic账号的密码。可以使用下面命令进行重置密码。

1
/usr/share/elasticsearch/bin/elasticsearch-reset-password -u elastic

可以使用下面的命令生成 Kibana 访问Elasticsearch的令牌。

1
/usr/share/elasticsearch/bin/elasticsearch-create-enrollment-token -s kibana 
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
--------------------------- Security autoconfiguration information ------------------------------

Authentication and authorization are enabled.
TLS for the transport and HTTP layers is enabled and configured.

The generated password for the elastic built-in superuser is : wm7khlFyj3VrHKOtb5S9

If this node should join an existing cluster, you can reconfigure this with
'/usr/share/elasticsearch/bin/elasticsearch-reconfigure-node --enrollment-token '
after creating an enrollment token on your existing cluster.

You can complete the following actions at any time:

Reset the password of the elastic built-in superuser with 
'/usr/share/elasticsearch/bin/elasticsearch-reset-password -u elastic'.

Generate an enrollment token for Kibana instances with 
 '/usr/share/elasticsearch/bin/elasticsearch-create-enrollment-token -s kibana'.

Generate an enrollment token for Elasticsearch nodes with 
'/usr/share/elasticsearch/bin/elasticsearch-create-enrollment-token -s node'.

访问测试

https://192.168.198.6:9200 使用HTTPS访问测试，用管理员账号密码。

Elasticsearch 配置

切换客户API为不加密，HTTP访问。

1
vim /etc/elasticsearch/elasticsearch.yml

打开文件

1
2
3
4
# Enable encryption for HTTP API client connections, such as Kibana, Logstash, and Agents
xpack.security.http.ssl:
  enabled: false
  keystore.path: certs/http.p12

修改上述配置为 false.

1
systemctl restart elasticsearch.service

重启服务，以生效配置。

访问 http://192.168.198.6:9200 ，使用http测试。

Kibana 配置

默认配置

默认为 5601 端口，默认绑定为127.0.0.1 地址。使用HTTP协议。

==可以修改kibana.yml 文件修改绑定地址，或者使用Nginx反向代理。==

修改语言

1
vim /etc/kibana/kibana.yml

vim修改配置文件

 ==i18n.locale: “zh-CN”==

删除# 修改此行为中文配置，重启服务生效。

基本认证配置

1
2
3
4
5
6
7
8
9
10
# =================== System: Elasticsearch ===================
# The URLs of the Elasticsearch instances to use for all your queries.
elasticsearch.hosts: ["http://127.0.0.1:9200"]

# If your Elasticsearch is protected with basic authentication, these settings provide
# the username and password that the Kibana server uses to perform maintenance on the Kibana
# index at startup. Your Kibana users still need to authenticate with Elasticsearch, which
# is proxied through the Kibana server.
elasticsearch.username: "kibana_system"
elasticsearch.password: "he5l=fIIbD1WhD_=aNg_"

==修改文件，配置ES访问地址，配置系统默认账号kibana_system的密码，填入配置文件。（必须为此账号）==

PS： 参考 https://www.elastic.co/guide/en/elasticsearch/reference/current/security-minimal-setup.html#add-built-in-users

Logstash 配置

开启syslog，将数据转发给ES.

vim /etc/logstash/conf.d/syslog.conf

创建修改syslog配置文件

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
input {
  syslog {
    type => "system-syslog"
    port => 514
  }
}

output {
  elasticsearch {
    hosts => ["http://127.0.0.1:9200"]
    index => "system-syslog-%{+YYYY.MM}"
    user => "elastic"
    password => "2H*Y9rL5D=xFbvLAz_Nr"
  }
}

配置为syslog输入，端口为默认的514。

将数据输出到ES，配置索引前缀为 system-syslog，按月分割索引。

注意 中括号

 ==vim /lib/systemd/system/logstash.service==

==修改systemd服务文件。==

1
2
3
4
[Service]
Type=simple
User=root
Group=root

需要修改启动用户为ROOT才能使用小于1024的端口号。

Kibana WEB配置

创建数据视图

在主菜单-Stack Management-Kibana-数据视图里面创建

参考文档： https://www.elastic.co/guide/en/kibana/current/data-views.html

使用类似 syslog* 匹配索引和日期。

索引管理

在主菜单-Stack Management-数据-索引管理里面查看所有索引。