elk搭建

1、安装jdk

elasticsearch 7之后，必须用jdk11

2、安装es

国内镜像：https://mirrors.huaweicloud.com/elasticsearch/

./elasticsearch
在后台启动es
直接解压安装包

3、安装kibana

国内镜像：https://mirrors.huaweicloud.com/kibana/
直接解压安装包

4、filebeat收集nginx日志，并上传到es，最后在kibana展示

(1)安装 Filebeat
sudo rpm -vi filebeat-6.8.5-x86_64.rpm
(2)filebeat上传文件到es
修改 /etc/filebeat/filebeat.yml 以设置连接信息：
output.elasticsearch:
hosts: ["<es_url>"]
username: “elastic”
password: “”
setup.kibana:
host: “<kibana_url>”
其中， 是 elastic 用户的密码，<es_url> 是 Elasticsearch 的 URL，<kibana_url> 是 Kibana 的 URL。
(3)启用 nginx 模块
sudo filebeat modules enable nginx
(4)收集nginx日志
在/etc/filebeat/modules.d/nginx.yml中修改设置

（5）启动filebeat
sudo filebeat setup
sudo service filebeat start
sudo service filebeat status
（6）生成es索引
/etc/filebeat下
执行 filebeat.exe -e -c filebeat.yml,观察es的索引多了filebeat-日期格式样式的索引

5、es配置用户密码

（1）elasticsearch.ym 增加配置：
启用xpack安全验证 xpack.security.enabled: true
（2）在bin目录下执行命令/elasticsearch-setup-passwords interactive，重置密码。

6、logstash

logsatsh主要可以过滤日志信息，和设置输出格式

7、elasticsearch 安装常见问题

1、uncaught exception in thread [main] org.elasticsearch.bootstrap.StartupException: java.lang.RuntimeException: can not run elasticsearch as root
原因：不能使用root用户启动
解决方案：改用别的用户
groupadd esgroup
adduser esadmin -g esgroup
chown -R esadmin:esgroup .
2、ERROR: bootstrap checks failed memory locking requested for elasticsearch process but memory is not locked 原因：锁定内存失败
解决方案： 切换到root用户，编辑limits.conf配置文件， 添加类似如下内容： sudo vim /etc/security/limits.conf
添加如下内容:

• soft memlock unlimited‘
• hard memlock unlimited 备注：* 代表Linux所有用户名称
  保存、退出、重新登录才可生效
  3、增大配置jvm.properties