前言：ELK是目前主流的日志解決方案哩牍，尤其是容器化集群的今天折柠，ELK幾乎是集群必備的一部分能力鲁纠；ELK在K8S落地有多種組合模式：
比如：fluentd+ELK或filebeat+ELK或log-pilot+ELK
而本文采用的是功能更強(qiáng)大的后者：log-pilot 采集--->logstash過(guò)濾加工--->ES存儲(chǔ)與索引--->Kibana展示的方案，日志量大的集群建議再加一層kafka提升吞吐敏储，降低logstash的負(fù)載谎柄。

1.ES集群安裝

我們計(jì)劃安裝兩個(gè)節(jié)點(diǎn)的集群環(huán)境：
節(jié)點(diǎn)1IP：192.168.0.137
節(jié)點(diǎn)2IP：192.168.0.230
關(guān)于安裝的版本：
從 6.8.0 和 7.1.0 版本開(kāi)始， Elastic Stack安全功能免費(fèi)提供惯雳，在Elasticsearch7.3朝巫，x-pack已經(jīng)作為默認(rèn)的插件集成在Elasticsearch里面了，為了今后方便的的添加安全策略石景，我們建議安裝7.3之后的版本
本文我們安裝7.5.0版本劈猿，es和kibana版本使用同樣的版本號(hào)。

以下命令在兩個(gè)節(jié)點(diǎn)分別執(zhí)行

docker pull elasticsearch:7.5.0
mkdir /data/es/data   請(qǐng)逐級(jí)創(chuàng)建目錄
mkdir /data/es/config 請(qǐng)逐級(jí)創(chuàng)建目錄
chmod 777 /data/es
vim /etc/sysctl.conf
加入如下內(nèi)容：
vm.max_map_count=262144  
然后:wq保存
啟用配置：
sysctl -p
注：這一步是為了防止啟動(dòng)容器時(shí)潮孽，報(bào)出如下錯(cuò)誤：
bootstrap checks failed max virtual memory areas vm.max_map_count [65530] likely too low, increase to at least [262144]

節(jié)點(diǎn)1上執(zhí)行命令：

cd /data/es/config
vim es1.yml  創(chuàng)建yml文件揪荣，內(nèi)容如下
#集群名稱
cluster.name: es-cluster
#節(jié)點(diǎn)名稱
node.name: node-a
#是不是有資格競(jìng)選主節(jié)點(diǎn)
node.master: true
#是否存儲(chǔ)數(shù)據(jù)
node.data: true
#最大集群節(jié)點(diǎn)數(shù)
node.max_local_storage_nodes: 10
#網(wǎng)關(guān)地址
network.host: 0.0.0.0
network.publish_host: 192.168.0.137
#端口
http.port: 9200
#內(nèi)部節(jié)點(diǎn)之間溝通端口
transport.tcp.port: 9300
http.cors.enabled: true
http.cors.allow-origin: "*"
#es7.x 之后新增的配置，寫(xiě)入候選主節(jié)點(diǎn)的設(shè)備地址往史，在開(kāi)啟服務(wù)后可以被選為主節(jié)點(diǎn)
discovery.seed_hosts: ["192.168.0.137:9300","192.168.0.230:9300"]
#es7.x 之后新增的配置仗颈，初始化一個(gè)新的集群時(shí)需要此配置來(lái)選舉master
cluster.initial_master_nodes: ["node-a"]
#數(shù)據(jù)存儲(chǔ)路徑
path.data: /usr/share/elasticsearch/data
#日志存儲(chǔ)路徑
path.logs: /usr/share/elasticsearch/data/logs

節(jié)點(diǎn)2上執(zhí)行命令如下：

cd /data/es/config
vim es2.yml  創(chuàng)建yml文件，內(nèi)容如下
#集群名稱
cluster.name: es-cluster
#節(jié)點(diǎn)名稱
node.name: node-b
#是不是有資格競(jìng)選主節(jié)點(diǎn)
node.master: true
#是否存儲(chǔ)數(shù)據(jù)
node.data: true
#最大集群節(jié)點(diǎn)數(shù)
node.max_local_storage_nodes: 10
#網(wǎng)關(guān)地址
network.host: 0.0.0.0
network.publish_host: 192.168.0.230
#端口
http.port: 9200
#內(nèi)部節(jié)點(diǎn)之間溝通端口
transport.tcp.port: 9300
http.cors.enabled: true
http.cors.allow-origin: "*"
#es7.x 之后新增的配置椎例，寫(xiě)入候選主節(jié)點(diǎn)的設(shè)備地址挨决，在開(kāi)啟服務(wù)后可以被選為主節(jié)點(diǎn)
discovery.seed_hosts: ["192.168.0.137:9300","192.168.0.230:9300"]
#es7.x 之后新增的配置，初始化一個(gè)新的集群時(shí)需要此配置來(lái)選舉master
cluster.initial_master_nodes: ["node-a"]
#數(shù)據(jù)存儲(chǔ)路徑
path.data: /usr/share/elasticsearch/data
#日志存儲(chǔ)路徑
path.logs: /usr/share/elasticsearch/data/logs

創(chuàng)建容器

節(jié)點(diǎn)1订歪，節(jié)點(diǎn)2均執(zhí)行以下命令：
docker run -e ES_JAVA_OPTS="-Xms512m -Xmx512m" -d -p 9200:9200 -p 9300:9300 -v /data/es/config/es.yml:/usr/share/elasticsearch/config/elasticsearch.yml -v /data/es/data:/usr/share/elasticsearch/data --name ES elasticsearch:7.5.0

等約2分鐘左右查看兩個(gè)節(jié)點(diǎn)狀態(tài)
http://192.168.0.137:9200
http://192.168.0.230:9200

使用elasticsearch-head前端框架（可選內(nèi)容）

#拉取鏡像
docker pull mobz/elasticsearch-head:5
#啟動(dòng)容器
docker run -d -p 9100:9100 --name es-manager  mobz/elasticsearch-head:5

瀏覽器訪問(wèn)http://192.168.0.137:9100/
并連接http://192.168.0.137:9200/

附：yml文件參數(shù)說(shuō)明

以下參數(shù)介紹來(lái)源：https://blog.csdn.net/belonghuang157405/article/details/83301937
cluster.name：用于唯一標(biāo)識(shí)一個(gè)集群脖祈，不同的集群，其 cluster.name 不同刷晋，集群名字相同的所有節(jié)點(diǎn)自動(dòng)組成一個(gè)集群盖高。如果不配置改屬性慎陵，默認(rèn)值是：elasticsearch。
node.name：節(jié)點(diǎn)名喻奥，默認(rèn)隨機(jī)指定一個(gè)name列表中名字席纽。集群中node名字不能重復(fù)
index.number_of_shards: 默認(rèn)的配置是把索引分為5個(gè)分片
index.number_of_replicas:設(shè)置每個(gè)index的默認(rèn)的冗余備份的分片數(shù)，默認(rèn)是1
通過(guò) index.number_of_shards映凳，index.number_of_replicas默認(rèn)設(shè)置索引將分為5個(gè)分片胆筒，每個(gè)分片1個(gè)副本，共10個(gè)結(jié)點(diǎn)诈豌。
禁用索引的分布式特性仆救，使索引只創(chuàng)建在本地主機(jī)上：
index.number_of_shards: 1
index.number_of_replicas: 0
但隨著版本的升級(jí) 將不在配置文件中配置而實(shí)啟動(dòng)ES后，再進(jìn)行配置
bootstrap.memory_lock: true 當(dāng)JVM做分頁(yè)切換（swapping）時(shí)矫渔，ElasticSearch執(zhí)行的效率會(huì)降低彤蔽，推薦把ES_MIN_MEM和ES_MAX_MEM兩個(gè)環(huán)境變量設(shè)置成同一個(gè)值，并且保證機(jī)器有足夠的物理內(nèi)存分配給ES庙洼，同時(shí)允許ElasticSearch進(jìn)程鎖住內(nèi)存
network.bind_host: 設(shè)置可以訪問(wèn)的ip,可以是ipv4或ipv6的顿痪，默認(rèn)為0.0.0.0，這里全部設(shè)置通過(guò)
network.publish_host:設(shè)置其它結(jié)點(diǎn)和該結(jié)點(diǎn)交互的ip地址油够，如果不設(shè)置它會(huì)自動(dòng)判斷蚁袭，值必須是個(gè)真實(shí)的ip地址
同時(shí)設(shè)置bind_host和publish_host兩個(gè)參數(shù)可以替換成network.host
network.bind_host: 192.168.0.137
network.publish_host: 192.168.0.137
=>network.host: 192.168.0.137
http.port:設(shè)置對(duì)外服務(wù)的http端口，默認(rèn)為9200
transport.tcp.port: 設(shè)置節(jié)點(diǎn)之間交互的tcp端口石咬，默認(rèn)是9300
http.cors.enabled: 是否允許跨域REST請(qǐng)求
http.cors.allow-origin: 允許 REST 請(qǐng)求來(lái)自何處
node.master: true 配置該結(jié)點(diǎn)有資格被選舉為主結(jié)點(diǎn)（候選主結(jié)點(diǎn)）揩悄，用于處理請(qǐng)求和管理集群。如果結(jié)點(diǎn)沒(méi)有資格成為主結(jié)點(diǎn)鬼悠，那么該結(jié)點(diǎn)永遠(yuǎn)不可能成為主結(jié)點(diǎn)删性；如果結(jié)點(diǎn)有資格成為主結(jié)點(diǎn)，只有在被其他候選主結(jié)點(diǎn)認(rèn)可和被選舉為主結(jié)點(diǎn)之后焕窝，才真正成為主結(jié)點(diǎn)蹬挺。
node.data: true 配置該結(jié)點(diǎn)是數(shù)據(jù)結(jié)點(diǎn)，用于保存數(shù)據(jù)它掂，執(zhí)行數(shù)據(jù)相關(guān)的操作（CRUD巴帮，Aggregation）；
discovery.zen.minimum_master_nodes: //自動(dòng)發(fā)現(xiàn)master節(jié)點(diǎn)的最小數(shù)虐秋，如果這個(gè)集群中配置進(jìn)來(lái)的master節(jié)點(diǎn)少于這個(gè)數(shù)目晰韵，es的日志會(huì)一直報(bào)master節(jié)點(diǎn)數(shù)目不足。（默認(rèn)為1）為了避免腦裂熟妓，個(gè)數(shù)請(qǐng)遵從該公式 => (totalnumber of master-eligible nodes / 2 + 1)雪猪。 * 腦裂是指在主備切換時(shí)，由于切換不徹底或其他原因起愈，導(dǎo)致客戶端和Slave誤以為出現(xiàn)兩個(gè)active master只恨，最終使得整個(gè)集群處于混亂狀態(tài)*
discovery.zen.ping.unicast.hosts： 集群個(gè)節(jié)點(diǎn)IP地址译仗，也可以使用es-node等名稱，需要各節(jié)點(diǎn)能夠解析

安裝中文分詞
中文分詞插件：
https://github.com/medcl/elasticsearch-analysis-ik/
版本對(duì)應(yīng)關(guān)系如下圖：

說(shuō)明：本文是安裝了7.5.0版本插件（并不是說(shuō)ES7.5安裝插件也必須7.5官觅，這個(gè)看上圖的對(duì)應(yīng)關(guān)系纵菌，ES7安裝當(dāng)前最新版本都沒(méi)問(wèn)題的)
docker exec -it ES /bin/bash  進(jìn)入容器
./bin/elasticsearch-plugin install https://github.com/medcl/elasticsearch-analysis-ik/releases/download/v7.5.0/elasticsearch-analysis-ik-7.5.0.zip
等幾分鐘安裝好后，退出容器休涤，重啟容器
docker restart es

2.安裝kibana

拉取鏡像咱圆，注意版本要和ES版本號(hào)一致
docker pull kibana:7.5.0

mkdir /data/es/kibana/config
mkdir /data/es/kibana/plugins
cd /data/es/kibana
chmod 777 kibana
cd /data/es/kibana/config
vim kibana.yml   制作配置文件
###################
server.name: kibana
server.host: "0.0.0.0" 
elasticsearch.hosts: [ "http://192.168.0.137:9200","http://192.168.0.230:9200"]
xpack.monitoring.ui.container.elasticsearch.enabled: true

啟動(dòng)容器：

docker run -d --name kibana  -p 5601:5601 -v /data/es/kibana/config/kibana.yml:/usr/share/kibana/config/kibana.yml  -v /data/es/kibana/plugins:/usr/share/kibana/plugins:rw  --name kibana   kibana:7.5.0

此時(shí)我們可以查看日志 docker logs kibana
當(dāng)看到以下信息時(shí)證明啟動(dòng)成功：

{"type":"log","@timestamp":"2020-03-22T08:20:11Z","tags":["status","plugin:reporting@7.5.0","info"],"pid":6,"state":"green","message":"Status changed from uninitialized to green - Ready","prevState":"uninitialized","prevMsg":"uninitialized"}
{"type":"log","@timestamp":"2020-03-22T08:20:11Z","tags":["listening","info"],"pid":6,"message":"Server running at http://0.0.0.0:5601"}
{"type":"log","@timestamp":"2020-03-22T08:20:11Z","tags":["info","http","server","Kibana"],"pid":6,"message":"http server running at http://0.0.0.0:5601"}

此時(shí)我們通過(guò)http://ip:5601就可以看到kibana界面，如下圖：

為kinba映射一個(gè)好記的域名（可選）
到nginx confi.d文件夾建一kibana.conf功氨，內(nèi)容如下：

server
{
        listen 80;
        #listen 443 ssl;
        server_name kibana.xxxx.cn;     #域名A記錄我們提前已經(jīng)指好
        location / {
            proxy_redirect off;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_pass http://192.168.0.137:5601;  #kibana的安裝節(jié)點(diǎn)及端口
        }
        error_page   500 502 503 504  /50x.html;
        location = /50x.html {
             root   /usr/share/nginx/html;
        }
}

重啟nginx序苏，就可以看到kibana的初始界面

 vim /data/es/kibana/config/kibana.yml
 加入一行：i18n.locale: "zh-CN"  然后保存
 docker restart kibana  重啟容器

3.添加密碼驗(yàn)證

docker exec -it ES /bin/bash #進(jìn)入容器
生成證書(shū)

###生成授權(quán)證書(shū)
bin/elasticsearch-certutil ca （CA證書(shū)：elastic-stack-ca.p12）
Please enter the desired output file [elastic-stack-ca.p12]: elastic-stack-ca.p12 (輸入elastic-stack-ca.p12）
Enter password for elastic-stack-ca.p12 : （輸入一個(gè)密碼，后面要用）
###根據(jù)授權(quán)證書(shū)生成節(jié)點(diǎn)證書(shū)
[root@6259c569027a elasticsearch]# bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12 （生成節(jié)點(diǎn)證書(shū)）
 Enter password for CA (elastic-stack-ca.p12) :（輸入授權(quán)證書(shū)剛才的密碼）
Please enter the desired output file [elastic-certificates.p12]: elastic-certificates.p12（輸入節(jié)點(diǎn)證書(shū)文件名elastic-certificates.p12）
Enter password for elastic-certificates.p12 : （輸入節(jié)點(diǎn)證書(shū)密碼）
然后我們將剛才輸入的密碼到 elasticsearch keystore 
bin/elasticsearch-keystore add xpack.security.transport.ssl.keystore.secure_password
bin/elasticsearch-keystore add xpack.security.transport.ssl.truststore.secure_password
以上命令會(huì)在config目錄生成elasticsearch.keystore文件

證書(shū)創(chuàng)建完畢跺涤，可以看到兩個(gè)證書(shū)文件在當(dāng)前目錄

vim es.yml，添加這幾行：
xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.license.self_generated.type: basic
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: /usr/share/elasticsearch/data/elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: /usr/share/elasticsearch/data/elastic-certificates.p12

啟用密碼

#master節(jié)點(diǎn)執(zhí)行如下操作：
vim /data/es/config/es.yaml
#添加如下三行（前面已有添加過(guò)）
xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.license.self_generated.type: basic
#保存后院刁，重啟Docker
docker restart ES

這時(shí)候再次打開(kāi)http://ip:9200糯钙，則會(huì)彈出密碼輸入框，我們接下來(lái)初始化密碼：

docker exec -it ES /bin/bash  #進(jìn)入ES容器
bin/elasticsearch-setup-passwords interactive  #執(zhí)行密碼初始化黎比，一共6個(gè)組件的密碼，每個(gè)重復(fù)一次鸳玩，共輸入12遍阅虫，如下：
[root@6259c569027a elasticsearch]# bin/elasticsearch-setup-passwords interactive 
Initiating the setup of passwords for reserved users elastic,apm_system,kibana,logstash_system,beats_system,remote_monitoring_user.
You will be prompted to enter passwords as the process progresses.
Please confirm that you would like to continue [y/N]y


Enter password for [elastic]: 
Reenter password for [elastic]: 
Enter password for [apm_system]: 
Reenter password for [apm_system]: 
Enter password for [kibana]: 
Reenter password for [kibana]: 
Enter password for [logstash_system]: 
Reenter password for [logstash_system]: 
Enter password for [beats_system]: 
Reenter password for [beats_system]: 
Enter password for [remote_monitoring_user]: 
Reenter password for [remote_monitoring_user]: 
Changed password for user [apm_system]
Changed password for user [kibana]
Changed password for user [logstash_system]
Changed password for user [beats_system]
Changed password for user [remote_monitoring_user]
Changed password for user [elastic]

然后分別重啟兩個(gè)節(jié)點(diǎn)的ES docker restart ES
設(shè)置密碼的方法參考了一系列網(wǎng)上文章：
https://blog.csdn.net/mengo1234/article/details/104920667/
x-park的license有效期可參考這篇處理：https://www.cnblogs.com/gavinYang/p/11200234.html
集群和非集群x-park使用所差異，參考：
http://www.eryajf.net/3500.html
Kibana添加ES密碼

vim kibana.yml
#添加下面兩行后不跟，重啟kibana容器
elasticsearch.username: "kibana"
elasticsearch.password: "之前為kibana帳戶創(chuàng)建的密碼"
然后重啟kibana容器颓帝，會(huì)跳轉(zhuǎn)到登錄界面

兩個(gè)節(jié)點(diǎn)的 es.yml均添加下面一行购城，然后docker restart ES重啟ES
xpack.monitoring.collection.enabled: true

重新進(jìn)入kibana就可以ES節(jié)點(diǎn)的詳細(xì)信息了。

4.安裝logstash

Logstash是一個(gè)日志收集器虐译，可以理解為一個(gè)管道瘪板，或者中間件。
功能是從定義的輸入源inputs讀取信息漆诽，經(jīng)過(guò)filters過(guò)濾器處理侮攀，輸入到定義好的outputs輸出源锣枝。
輸入源可以是stdin、日志文件兰英、數(shù)據(jù)庫(kù)等撇叁，輸出源可以是stdout、elesticsearch畦贸、HDFS等陨闹。

安裝過(guò)程如下：
下載docker鏡像
盡量保證版本號(hào)和ES一致，否則容易產(chǎn)生不兼容問(wèn)題薄坏。
docker pull docker.elastic.co/logstash/logstash:7.5.0
創(chuàng)建文件夾 (用于容器文件的掛載)
mkdir /data/logstash/config
創(chuàng)建相關(guān)配置文件

vim logstash.yml 
http.host: "0.0.0.0"
http.port: 9600

logstash.yml相關(guān)參數(shù)編寫(xiě)可參考：https://segmentfault.com/a/1190000016591476

vim log4j2.properties
logger.elasticsearchoutput.name = logstash.outputs.elasticsearch
logger.elasticsearchoutput.level = debug

vim pipelines.yml
- pipeline.id: my-logstash
  path.config: "/usr/share/logstash/config/*.conf"
  pipeline.workers: 3

es.conf 文件
input {
  tcp {
    mode => "server"
    host => "0.0.0.0"
    port => 5044
  }
}
output {
  elasticsearch {
    action => "index"
    hosts  => ["192.168.0.137:9200","192.168.0.230:9200"]
    index  => "index"  #"index"是索引庫(kù)名稱趋厉，可以用變量自動(dòng)生成索引庫(kù)名
    user =>"elastic"
    password =>"xxxxxx"
  }
}

啟動(dòng)命令

docker run -d -p 5044:5044 -p 9600:9600 -it -v /data/logstash/config/:/usr/share/logstash/config/  --name logstash docker.elastic.co/logstash/logstash:7.5.0 

docker logs logstash 查看日志，當(dāng)看到如下信息說(shuō)明運(yùn)行成功：

14:47:18.759 [Ruby-0-Thread-1: /usr/share/logstash/vendor/bundle/jruby/2.5.0/gems/stud-0.0.23/lib/stud/task.rb:22] INFO  logstash.agent - Pipelines running {:count=>1, :running_pipelines=>[:"my-logstash"], :non_running_pipelines=>[]}
14:47:18.769 [[my-logstash]<tcp] INFO  logstash.inputs.tcp - Starting tcp input listener {:address=>"0.0.0.0:4567", :ssl_enable=>"false"}
14:47:18.902 [Api Webserver] INFO  logstash.agent - Successfully started Logstash API endpoint {:port=>9600}

打開(kāi)瀏覽器訪問(wèn)驗(yàn)證：http://ip:9600

5.安裝log-pilot

Log-Pilot是阿里開(kāi)源的一個(gè)智能容器日志采集工具颤殴，能夠高效便捷地將容器日志采集輸出到多種后臺(tái)日志存儲(chǔ)系統(tǒng)中觅廓，不僅能夠采集容器標(biāo)準(zhǔn)輸出日志，同時(shí)能夠動(dòng)態(tài)發(fā)現(xiàn)配置采集容器內(nèi)文件日志涵但，參考官方介紹：https://yq.aliyun.com/articles/674327

我們?cè)趉8s集群內(nèi)將采用k8s的模式進(jìn)行安裝杈绸，便于自動(dòng)管理。
準(zhǔn)備yaml文件如下

vim log-pilot.yaml #創(chuàng)建文件
---
apiVersion: extensions/v1beta1
kind: DaemonSet
metadata:
  name: log-pilot
  namespace: es
  labels:
    k8s-app: log-pilot
    kubernetes.io/cluster-service: "true"
spec:
  template:
    metadata:
      labels:
        k8s-app: log-es
        kubernetes.io/cluster-service: "true"
        version: v1.22
    spec:
      tolerations:
      - key: node-role.kubernetes.io/master
        effect: NoSchedule
      containers:
      - name: log-pilot
        image: registry.cn-hangzhou.aliyuncs.com/acs/log-pilot:0.9.6-filebeat
        resources:
          limits:
            memory: 200Mi
          requests:
            cpu: 100m
            memory: 200Mi
        env:
          - name: "LOGGING_OUTPUT"
            value: "logstash"
          - name: "LOGSTASH_HOST"
            value: "192.168.0.230"
          - name: "LOGSTASH_PORT"
            value: "5044"
          - name: "LOGSTASH_LOADBALANCE"
            value: "true"
          #- name: "FILEBEAT_OUTPUT"
          #  value: "elasticsearch"
          #- name: "ELASTICSEARCH_HOST"
          #  value: "192.168.0.137"
          #- name: "ELASTICSEARCH_PORT"
          #  value: "9200"
          #- name: "ELASTICSEARCH_USER"
          #  value: "elastic"
          #- name: "ELASTICSEARCH_PASSWORD"
          #  value: "1111111"
        volumeMounts:
        - name: sock
          mountPath: /var/run/docker.sock
        - name: root
          mountPath: /host
          readOnly: true
        - name: varlib
          mountPath: /var/lib/filebeat
        - name: varlog
          mountPath: /var/log/filebeat
        securityContext:
          capabilities:
            add:
            - SYS_ADMIN
      terminationGracePeriodSeconds: 30
      volumes:
      - name: sock
        hostPath:
          path: /var/run/docker.sock
      - name: root
        hostPath:
          path: /
      - name: varlib
        hostPath:
          path: /var/lib/filebeat
          type: DirectoryOrCreate
      - name: varlog
        hostPath:
          path: /var/log/filebeat
          type: DirectoryOrCreate

在master節(jié)點(diǎn)執(zhí)行kubectl apply -f log-pilot.yaml
其中
LOGGING_OUTPUT 是使用logstash接收l(shuí)og-pilot接收到的日志
LOGSTASH_HOST logstash服務(wù)的ip地址
LOGSTASH_PORT logstash服務(wù)的端口
LOGSTASH_LOADBALANCE 是否為logstash開(kāi)啟負(fù)載均衡模式

查看部署情況
kubectl get pods -n es
能夠看出每個(gè)k8s節(jié)點(diǎn)均自動(dòng)部署了一個(gè)log-pilot容器

log-pilot會(huì)自動(dòng)打一些環(huán)境變量或標(biāo)簽矮瘟，供接收端使用瞳脓，如下圖：

6.驗(yàn)證日志寫(xiě)入情況

我們運(yùn)行一個(gè)容器測(cè)試日志寫(xiě)入

master節(jié)點(diǎn)創(chuàng)建一個(gè)tomcat.yaml澈侠，如下：
apiVersion: v1
kind: Pod
metadata:
  name: tomcat
spec:
  containers:
  - name: tomcat
    image: "tomcat:7.0"
    env:
    - name: aliyun_logs_myTomcat
      value: "stdout" 
    - name: aliyun_logs_access
      value: "/usr/local/tomcat/logs/catalina.*.log" 
    volumeMounts:
      - name: tomcat-log
        mountPath: /usr/local/tomcat/logs
  volumes:
    - name: tomcat-log
      emptyDir: {}

然后執(zhí)行kubectl apply -f tomcat.yaml創(chuàng)建pod

Kibana到management菜單--->索引模式--->創(chuàng)建索引模式
輸入我們的索引名稱加上*劫侧，如下圖。
我們索引名稱為index哨啃，然后下一步烧栋，配置其他項(xiàng)后，保存索引模式拳球。

索引模式創(chuàng)建完畢后审姓，我們點(diǎn)擊【Discover】菜單進(jìn)行查看
先切換索引，然后輸入查詢條件查詢?nèi)罩尽?/p>

7.結(jié)語(yǔ)

ELK生產(chǎn)環(huán)境實(shí)施會(huì)涉及到ES集群規(guī)劃祝峻，節(jié)點(diǎn)/分片/索引/容量規(guī)劃魔吐，并非按網(wǎng)上文章直接部署這么簡(jiǎn)單，搭建前要詳細(xì)評(píng)估莱找。
此外ELK中l(wèi)ogstash功能是比較強(qiáng)大酬姆，但其對(duì)數(shù)據(jù)處理及路由策略的設(shè)計(jì)直接關(guān)系到ES數(shù)據(jù)是否易用，如果這部分沒(méi)有花精力規(guī)劃奥溺，后期ES數(shù)據(jù)庫(kù)將會(huì)變成數(shù)據(jù)垃圾堆辞色。
關(guān)于logstash規(guī)則的匹配處理：
grokdebug.herokuapp.com里面可以做測(cè)試.
grokdebug.herokuapp.com/patterns 所有可用的patterns都可以在這里查到.
log-pilot組件會(huì)自動(dòng)增加一些默認(rèn)變量供下游使用
k8s_container_name、k8s_pod浮定、k8s_node_name淫僻、 k8s_pod_namespace
如logstash表達(dá)式可以這么寫(xiě)：
output {
elasticsearch {
hosts => "${ES_URL}"
manage_template => false
index => "k8s-%{k8s_container_name}-%{+YYYY.MM.dd}"
}
}
logstash可以看這個(gè)系列：
http://doc.yonyoucloud.com/doc/logstash-best-practice-cn/index.html
logstash表達(dá)式可以看這篇文章
https://www.cnblogs.com/xiaobaozi-95/p/9214307.html
參考：
【手把手教你搭建一個(gè) Elasticsearch 集群】
https://www.cnblogs.com/tianyiliang/p/10291305.html
【ES權(quán)威指南1】
https://www.cnblogs.com/Leo_wl/p/7685776.html
【ELK：收集k8s容器日志最佳實(shí)踐】
https://www.cnblogs.com/William-Guozi/p/elk-k8s.html
【在阿里诱篷，我們是怎么做 K8S 日志實(shí)踐的？】
https://toutiao.io/posts/k0qse0/preview