《ELK Stack权威指南 》第1章 入门示例-阿里云开发者社区

开发者社区> 开发与运维> 正文

《ELK Stack权威指南 》第1章 入门示例

简介:

本节书摘来自华章出版社《ELK Stack权威指南 》一书中的第1章,第1节,作者饶琛琳,更多章节内容可以访问云栖社区“华章计算机”公众号查看。



入 门 示 例

什么是Logstash?为什么要用Logstash?怎么用Logstash?这是本章将要介绍的内容。本章从最基础的知识着手,从以下几步介绍Logstash的必备知识。1)下载安装。介绍Logstash软件的多种安装部署方式,并给出推荐的方式。2)初次运行。通过Hello World示例,演示Logstash最简单的运用,解释其逻辑上的基础原理。3)配置语法。介绍Logstash的DSL设计,Logstash命令的运行参数。4)插件安装。灵活和丰富的插件是Logstash最重要的优势。本节会介绍Logstash插件的安装方式。5)长期运行方式。从初次终端测试到长期后台稳定运行,本节会介绍几种不同方案,供读者根据实际场景选择。

1.1 下载安装

1.下载

Logstash从1.5版本开始,将核心代码和插件代码完全剥离,并重构了插件架构逻辑,所有插件都以标准的Ruby Gem包形式发布。

下载官方软件包的方式有以下几种:

压缩包方式

https://artifacts.elastic.co/downloads/logstash/logstash-5.1.1.tar.gz

Debian平台

https://artifacts.elastic.co/downloads/logstash/logstash-5.1.1.deb

Redhat平台

https://artifacts.elastic.co/downloads/logstash/logstash-5.1.1.rpm

2.安装

在上面这些包中,你可能更偏向使用rpm、dpkg等软件包管理工具来安装Logstash,开发者在软件包里预定义了一些依赖。比如,logstash-5.0.2就依赖于jre包。

另外,软件包里还包含有一些很有用的脚本程序,比如/etc/init.d/logstash。

如果你必须在一些很老的操作系统上运行Logstash,那你只能用源代码包部署了,记住要自己提前安装好Java:

yum install openjdk-jre

export JAVA_HOME=/usr/java

tar zxvf logstash-5.0.2.tar.gz

3.最佳实践

但是真正的建议是:如果可以,请用Elasticsearch官方仓库来直接安装Logstash!

Debian平台

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -

sudo apt-get install apt-transport-https

echo "deb https://artifacts.elastic.co/packages/5.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-5.x.list

sudo apt-get update && sudo apt-get install logstash

Redhat平台

sudo rpm --import

https://artifacts.elastic.co/GPG-KEY-elasticsearch

sudo cat > /etc/yum.repos.d/elk.repo <<EOF

[logstash-5.x]

name=Elastic repository for 5.x packages

baseurl=https://artifacts.elastic.co/packages/5.x/yum

gpgcheck=1

gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch

enabled=1

autorefresh=1

type=rpm-md

EOF

sudo yum install -y logstash

enabled=1

EOF

yum clean all

yum install logstash

1.2 Hello World

与绝大多数IT技术介绍一样,我们也以一个输出“Hello World”的形式开始学习Logstash。

1.命令行运行

在终端中,像下面这样运行命令来启动 Logstash 进程:

# bin/logstash -e 'input{stdin{}}output{stdout{codec=>rubydebug}}'

首先看到终端输出一段进程启动过程的提示输出。提示以"Successfully started Logstash API endpoint {:port=>9600}"结束。

然后你会发现终端在等待你的输入。没问题,敲入Hello World,回车,看看会返回什么结果!

{

"message" =>"Hello World",

"@version" =>"1",

"@timestamp" =>"2014-08-07T10:30:59.937Z",

"host" =>"raochenlindeMacBook-Air.local",

}

没错!就是这么简单。

2.完整示例

命令行运行当然不是什么特别方便的用法,所以绝大多数情况下,我们都是采用额外定义一个logstash.conf配置文件的方式来启动Logstash。下面是我们的第一个完整版logstash.conf的示例:

input {

    stdin { }

}

output {

    stdout {

        codec => rubydebug {}

    }

    elasticsearch {

        Rost=>["127.0.0.1"]

    }

}

因为在5.0版本中,Elasticsearch和Kibana都是独立服务。如果你按照上一节的最佳实践配置好了yum的话,通过如下命令启动服务即可:

# service elasticsearch start && service kibana start

然后在终端上这样运行:

# bin/logstash -f logstash.conf

同样,还是输入一次Hello World。你会看到和上一次一样的一段Ruby对象输出。但事实上,这个完整示例可不止如此。打开另一个终端,输入下面一行命令:

# curl http://127.0.0.1:9200/_search?q=hello

你会看到终端上输出下面这么一段内容:

{"took":15,"timed_out":false,"_shards":{"total":27,"successful":27,"failed":0},"hits":{"total":1,"max_score":0.095891505,"hits":[{"_index":"logstash-2015.08.22","_type":"logs","_id":"AU90s1eNgg_P5-w7SB32","_score":0.095891505,"_source":{"message":"Hello World","@version":"1","@timestamp":"2014-08-07T10:30:59.937Z","host":"raochenlindeMacBook-Air.local"}}]}}

这时候你打开浏览器,访问http://127.0.0.1:5601地址,按照提示完成index pattern配置(正常的话只需要点击一下Create按钮),即可点击Discover页面看到如图1-1所示的效果。你在终端上输入的数据,可以从这个页面上任意搜索了。

 

图1-1 Kibana上搜索的hello world

对index pattern配置有疑惑的读者,可以阅读本书第三部分关于Kibana的章节。

3.解释

每位系统管理员都肯定写过很多类似这样的命令:cat randdata | awk '{print $2}' | sort | uniq -c | tee sortdata。这个管道符|可以算是Linux世界最伟大的发明之一(另一个是“一切皆文件”)。

Logstash就像管道符一样!

输入(就像命令行的cat)数据,然后处理过滤(就像awk或者uniq之类)数据,最后输出(就像tee)到其他地方。

当然实际上,Logstash是用不同的线程来实现这些的。如果你运行top命令然后按下H键,你就可以看到下面这样的输出:

    PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND

21401 root      16   0 1249m 303m  10m S 18.6  0.2 866:25.46 |worker

21467 root      15   0 1249m 303m  10m S  3.7  0.2 129:25.59 >elasticsearch.

21468 root      15   0 1249m 303m  10m S  3.7  0.2 128:53.39 >elasticsearch.

21400 root      15   0 1249m 303m  10m S  2.7  0.2 108:35.80 <file

21403 root      15   0 1249m 303m  10m S  1.3  0.2  49:31.89 >output

21470 root      15   0 1249m 303m  10m S  1.0  0.2  56:24.24 >elasticsearch.

如上例所示,Logstash很温馨地给每类线程都取了名字,输入的叫<xx,过滤的叫|xx,输出的叫>xx。

数据在线程之间以事件的形式流传。不要叫行,因为Logstash可以处理多行事件。

Logstash会给事件添加一些额外信息。最重要的就是@timestamp,用来标记事件的发生时间。因为这个字段涉及Logstash的内部流转,所以必须是一个joda对象,如果你尝试自己给一个字符串字段重命名为@timestamp的话,Logstash会直接报错。所以,请使用logstash-filter-date插件来管理这个特殊字段。

此外,大多数时候,还可以见到另外几个:

host标记事件发生在哪里。

type标记事件的唯一类型。

tags标记事件的某方面属性。这是一个数组,一个事件可以有多个标签。

你可以随意给事件添加字段或者从事件里删除字段。事实上事件就是一个Ruby对象,或者更简单地理解为就是一个哈希也行。

每个Logstash过滤插件,都会有四个方法叫add_tag、remove_tag、add_field和remove_field,它们在插件过滤匹配成功时生效。

推荐阅读

官网上“the life of an event”文档:http://logstash.net/docs/1.4.2/life-of-an-event

Elastic{ON}上《life of a logstash event》演讲:https://speakerdeck.com/elastic/life-of-a-logstash-event

1.3 配置语法

Logstash社区通常习惯用Shipper、Broker和Indexer来描述数据流中不同进程各自的角色,如图1-2所示。

 

图1-2 Logstash角色说明

不过我见过很多运用场景里都没有用Logstash作为Shipper,或者说没有用Elasticsearch作为数据存储,也就是说也没有Indexer。所以,我们其实不需要这些概念。只需要学好怎么使用和配置Logstash进程,然后把它运用到你的日志管理架构中最合适它的位置就够了。

1.3.1 语法

Logstash设计了自己的DSL,有点像Puppet的DSL,或许因为都是用Ruby语言写的吧,区域、注释、数据类型(布尔值、字符串数值、数组、哈希)都类似,条件判断、字段引用等也一样。

1.区段(section)

Logstash用{}来定义区域。区域内可以包括插件区域定义,你可以在一个区域内定义多个插件。插件区域内则可以定义键值对设置。示例如下:

input {

    stdin {}

    syslog {}

}

2.数据类型

Logstash支持少量的数据值类型:

希尔值(bool)

debug => true

字符串(string)

host =>"hostname"

数值(number)

port => 514

数组(array)

match => ["datetime", "UNIX", "ISO8601"]

哈希(hash)

options => {

    key1 =>"value1",

    key2 =>"value2"

}

如果你用的版本低于1.2.0,哈希的语法跟数组是一样的,像下面这样写:

match => [ "field1", "pattern1", "field2", "pattern2" ]

3.字段引用(field reference)

字段是 Logstash::Event对象的属性。我们之前提过事件就像一个哈希一样,所以你可以想象字段就像一个键值对。

如果你想在Logstash配置中使用字段的值,只需把字段的名字写在中括号[ ]里就行了,这就叫“字段引用”。

对于“嵌套字段”(也就是多维哈希表,或者叫哈希的哈希),每层的字段名都写在[ ]里就可以了。比如,你可以从geoip里这样获取longitude值(是的,这是个笨办法,实际上有单独的字段专门存这个数据的):

[geoip][location][0]

Logstash的数组也支持倒序下标,即[geoip][location][-1]可以获取数组最后一个元素的值。

Logstash还支持变量内插,在字符串里使用字段引用的方法是这样:

"the longitude is %{[geoip][location][0]}"

4.条件判断(condition)

Logstash从1.3.0版开始支持条件判断和表达式。

表达式支持下面这些操作符:

 "equality, etc: ==, !=, <, >, <=, >=

 "regexp: =~, !~

 "inclusion: in, not in

 "boolean: and, or, nand, xor

 "unary: !()

通常来说,你都会在表达式里用到字段引用。比如:

if "_grokparsefailure" not in [tags] {

} else if [status] !~ /^2\d\d/ and [url] == "/noc.gif" {

} else {

}

1.3.2 命令行参数

Logstash提供了一个shell脚本叫logstash方便快速运行,下面介绍它支持的参数:

1. -e

意即“执行”。我们在“Hello World”的时候已经用过这个参数了。事实上你可以不写任何具体配置,直接运行bin/logstash -e ''可达到相同效果。这个参数的默认值是下面这样:

input {

    stdin { }

}

output {

    stdout { }

}

2. --config或-f

意即“文件”。真实运用中,我们会写很长的配置,甚至可能超过shell所能支持的1024个字符长度。所以我们必把配置固化到文件里,然后通过bin/logstash -f agent.conf这样的形式来运行。

此外,Logstash还提供一个方便我们规划和书写配置的小功能。你可以直接用bin/logstash -f /etc/logstash.d/来运行。Logstash会自动读取/etc/logstash.d/目录下所有的文本文件,然后在自己内存里拼接成一个完整的大配置文件,再去执行。

Logstash列出目录下所有文件时是字母排序的。而Logstash配置段的filter和 output都是顺序执行的,所以顺序非常重要。采用多文件管理的用户,推荐采用数字编号方式命名配置文件,同时在配置中严谨采用if判断限定不同日志的动作。

3. --configtest或-t

意即“测试”。用来测试Logstash读取到的配置文件语法是否能正常解析。Logstash配置语法是用grammar.treetop定义的。尤其是使用了上一条提到的读取目录方式的读者,尤其要提前测试。

4. --log或-l

意即“日志”。Logstash默认输出日志到标准错误。生产环境下你可以通过bin/logstash -l logs/logstash.log命令来统一存储日志。

5. --pipeline-workers 或 -w

运行filter和output的pipeline线程数量,默认是CPU核数。

6. --pipeline-batch-size 或 -b

每个Logstash pipeline线程,在执行具体的filter和output函数之前,最多能累积的日志条数,默认是125条。越大性能越好,同样也会消耗越多的JVM内存。

7. --pipeline-batch-delay 或 -u

每个Logstash pipeline线程,在打包批量日志的时候,最多等待几毫秒,默认是5 ms。

8. --pluginpath或-P

可以写自己的插件,然后用bin/logstash --pluginpath /path/to/own/plugins加载它们。

如果你使用的Logstash版本在1.5.0-rc3到1.5.3之间,该参数一度被取消,请改用本地gem插件安装形式。

9. --verbose

输出一定的调试日志。如果你使用的Logstash版本低于1.3.0,则用bin/logstash -v来代替。

10. --debug

输出更多的调试日志。如果你使用的Logstash版本低于1.3.0,则用bin/logstash -vv来代替。

1.3.3 设置文件示例

从Logstash 5.0开始,新增了$LS_HOME/config/logstash.yml文件,可以将所有的命令行参数都通过YAML文件方式设置。同时为了反映命令行配置参数的层级关系,参数也都改成用.而不用-了。

上小节的pipeline相关命令行参数,改用 YAML 文件的写法如下:

pipeline:

    workers: 24

    batch:

        size: 125

        delay: 5

1.4 插件安装

从Logstash 1.5.0版本开始,Logstash将所有的插件都独立拆分成gem包。这样,每个插件都可以独立更新,不用等待Logstash自身做整体更新的时候才能使用了。

为了达到这个目标,Logstash配置了专门的plugin管理命令。

plugin命令用法说明如下:

Usage:

    bin/logstash-plugin [OPTIONS] SUBCOMMAND [ARG] ...

 

Parameters:

    SUBCOMMAND      subcommand

    [ARG] ...       subcommand arguments

 

Subcommands:

    install         Install a plugin

    uninstall       Uninstall a plugin

    update          Install a plugin

    list            List all installed plugins

 

Options:

    -h, --help                    print help

首先,你可以通过bin/logstash-plugin list查看本机现在有多少插件可用。(其实就在vendor/bundle/jruby/1.9/gems/目录下。)

然后,假如你看到https://github.com/logstash-plugins/下新发布了一个logstash-output-webhdfs模块(当然目前还没有)。打算试试,就只需运行如下命令:

bin/logstash-plugin install logstash-output-webhdfs

同样,假如是升级,只需运行如下命令即可:

bin/logstash-plugin update logstash-input-tcp

bin/logstash-plugin不但可以通过 rubygems平台安装插件,还可以读取本地路径的gem文件,这对自定义插件或者无外接网络的环境都非常有效:

bin/logstash_plugin install /path/to/logstash-filter-crash.gem

执行成功以后。你会发现,logstash-5.0.2目录下的 Gemfile文件最后会多出一段内容:

gem "logstash-filter-crash", "1.1.0", :path =>"vendor/local_gems/d354312c/logstash-filter-mweibocrash-1.1.0"

同时Gemfile.jruby-1.9.lock文件开头也会多出一段内容,如下所示:

PATH

    remote: vendor/local_gems/d354312c/logstash-filter-crash-1.1.0

    specs:

      logstash-filter-crash (1.1.0)

        logstash-core (>= 1.4.0, < 2.0.0)

1.5 长期运行方式

完成上一节的初次运行后,你可能会发现一点:一旦你按下Ctrl+C,停下标准输入输出,Logstash进程也就随之停止了。作为一个肯定要长期运行的程序,应该怎么处理呢?

本章节问题对于一个运维来说应该属于基础知识,鉴于ELK用户很多其实不是运维,添加这段内容。

办法有很多种,下面介绍四种最常用的办法。

1.标准的service方式

采用RPM、DEB发行包安装的读者,推荐采用这种方式。发行包内,都自带有sysV或者systemd风格的启动程序/配置,你只需要直接使用即可。以RPM为例,/etc/init.d/logstash脚本中,会加载/etc/init.d/functions库文件,利用其中的daemon函数,将Logstash 进程作为后台程序运行。

所以,你只需把自己写好的配置文件统一放在/etc/logstash/目录下(注意目录下所有配置文件都应该是.conf结尾,且不能有其他文本文件存在,因为logstash agent启动的时候是读取全文件夹的),然后运行service logstash start命令即可。

2.最基础的nohup方式

这是最简单的方式,也是Linux新手们很容易搞混淆的一个经典问题:

command

command > /dev/null

command > /dev/null 2>&1

command &

command > /dev/null &

command > /dev/null 2>&1 &

command &> /dev/null

nohup command &> /dev/null

请回答以上命令的异同……

具体不一一解释了。直接说答案,想要维持一个长期后台运行的Logstash,你需要同时在命令前面加nohup,后面加&。

3.更优雅的screen方式

screen算是Linux运维一个中高级技巧。通过screen命令创建的环境下运行的终端命令,其父进程不是sshd登录会话,而是screen。这样就可以既避免用户退出进程消失的问题,又随时能重新接管回终端继续操作。

创建独立的screen命令如下:

screen -dmS elkscreen_1

连接进入已创建的elkscreen_1的命令如下:

screen -r elkscreen_1

然后你可以看到一个一模一样的终端,运行Logstash之后,不要按Ctrl+C,而是按Ctrl+A+D键,断开环境。想重新接管,依然用screen -r elkscreen_1即可。

如果创建了多个screen,查看列表命令如下:

screen -list

4. 最推荐的daemontools方式

不管是nohup还是screen,都不是可以很方便管理的方式,在运维管理一个ELK集群的时候,必须寻找一种尽可能简洁的办法。所以,对于需要长期后台运行的大量程序(注意大量,如果就一个进程,还是学习一下怎么写init脚本吧),推荐大家使用一款daemontools工具。

daemontools是一个软件名称,不过配置略复杂。所以这里我其实是用其名称来指代整个同类产品,包括但不限于Python实现的supervisord,Perl实现的ubic,Ruby实现的god等。

以supervisord为例,因为这个出来得比较早,可以直接通过EPEL仓库安装。

yum -y install supervisord --enablerepo=epel

在/etc/supervisord.conf配置文件里添加内容,定义你要启动的程序,如下所示:

[program:elkpro_1]

environment=LS_HEAP_SIZE=5000m

directory=/opt/logstash

command=/opt/logstash/bin/logstash -f /etc/logstash/pro1.conf -w 10 -l /var/log/logstash/pro1.log

[program:elkpro_2]

environment=LS_HEAP_SIZE=5000m

directory=/opt/logstash

command=/opt/logstash/bin/logstash -f /etc/logstash/pro2.conf -w 10 -l /var/

log/logstash/pro2.log

然后启动service supervisord start 即可。

Logstash会以supervisord子进程的身份运行,你还可以使用supervisorctl命令,单独控制一系列 Logstash 子进程中某一个进程的启停操作:

supervisorctl stop elkpro_2

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
开发与运维
使用钉钉扫一扫加入圈子
+ 订阅

集结各类场景实战经验,助你开发运维畅行无忧

其他文章