ELK学习笔记

一、ELK是什么？

ELK是三个开源软件的缩写，分别表示：Elasticsearch , Logstash, Kibana

1、Elasticsearch

这是一个基于Lucene的分布式全文搜索框架，可以对logs进行分布式存储。此为ELK的核心组件，日志的处理以及存储全部由Elasticsearch 完成。

2、Logstash

主要是用来日志的搜集、分析、过滤日志的工具，用来部署到各自的服务器上收集Log日志，通过内置的ElasticSearch插件解析后输出日志到ElasticSearch中。

3、kibana

可以多维度的展示Elasticsearch 中的数据。提供了丰富的UI组件，简化了使用难度。

二、查询日志

1. 查询所有文档

   GET /customer/_search?q=*&sort=name:asc&pretty

GET /customer/_search
{
  "query": { "match_all": {} },
  "sort": [
    {"name": "asc" }
  ]
}	

三、查询日志

1. 创建索引

{
	    "settings" : {
	        "index" : {
	            "number_of_shards" : 3,
	            "number_of_replicas" : 2
	        }
	    }
	}

2. 创建mapping映射

{
    "settings" : {
        "index" : {
            "number_of_shards" : 3,
            "number_of_replicas" : 2
        }
    },
   "mappings" : {
        "type1" : {
            "properties" : {
                "field1" : { "type" : "text" }
            }
        }
    }
}

3.创建索引时加入别名定义

{
    "aliases" : {
        "alias_1" : {},
        "alias_2" : {
            "filter" : {
                "term" : {"user" : "kimchy" }
            },
            "routing" : "kimchy"
        }
    }
}