ELK不能查询日志报错：index read-only

1.Kibana不能进行日志查询，其表现为不能查当前日志，但可以查到前几天的日志；

2.kibana能查看以前的日志，说明kibana和elasticsearch应该运行正常。可能是filebeat或者logstash出了问题，无法将日志上传；

3.查看filebeat服务启动情况及日志信息，filebeat服务正常；

4.查看logstash服务启动情况及日志信息，发现有报错信息如下：

Retrying failed action with response code: 403 ({"type"=>"cluster_block_exception", 
"reason"=>"blocked by: [FORBIDDEN/12/index read-only / allow delete (api)];"})

这是在说无法向elasticsearch正常写入数据，elasticsearch处于只读状态。从相关资料了解到，如果elasticsearch数据盘使用率过大，将禁止写入数据。问题出在elasticsearch。

了解到这点后，查看elasticsearch索引，果然没有这两天的索引。官网文档提供的解决方式是执行如下命令：

curl -XPUT -H "Content-Type: application/json" http://127.0.0.1:9200/_all/_settings -d 
'{"index.blocks.read_only_allow_delete": null}'

执行命令后，再次查看elasticsearch索引，会发现正在恢复近期丢失的索引文件，同时kibana也可以查看当前的日志，问题解决。