Beispiel für die Verwendung von Docker zum Erstellen eines ELK-Protokollsystems

$ sudo docker pull elasticsearch:5.5.0

$ sudo docker run -it -d -p 9200:9200 -p 9300:9300 \
-v ~/elasticsearch/data:/usr/share/elasticsearch/data \
--name myes elasticsearch:5.5.0

$ Docker-Protokolle -f myes

$ sudo docker pull logstash:5.5.0

$ mkdir ~/logstash/conf.d && cd logstash/conf.d
$ vim logstash.conf

Eingabe {

 schlägt {
  Port => 5044 # Dieser Port muss derselbe sein wie der Port in filebeat.yml}

 Datei {
  Pfad => "/data/logs"
  # start_position => "Anfang"
 }
}

Filter {
 #grok {
 # Übereinstimmung => { "Nachricht" => "%{COMBINEDAPACHELOG}" }
 #}
 #Datum {
 # Übereinstimmung => ["Zeitstempel", "tt/MMM/jjjj:HH:mm:ss Z"]
 #}

 grok {

  patterns_dir => "/etc/logstash/conf.d/patterns"
  Übereinstimmung => {"Nachricht" => "%{TIMESTAMP_ISO8601:Zeit}\S%{MYSELF:msgid}%{MYSELF:Methode}%{MYDATA:Daten}%{MYSELF:Benutzerinfo}\S%{LOGLEVEL:Ebene}\S%{MYSELF:Thread}%{MYSELF:Anwendung}%{MYSELF:IP}"}
}
Datum {
   #match => [ "Zeit", "JJJJ-MM-tt HH:mm:ss,SSS" ]
   Übereinstimmung => [ "Zeit", "ISO8601" ]
   Ziel => "@Zeitstempel"
   Zeitzone => "Asia/Phnom_Penh"
 }

}

Ausgabe {

 stdout {
  Codec => Rubydebug
 }

 elastische Suche
  Aktion => "Index"
  Hosts => ["172.17.10.114:9200"]
  index => "%{[Felder][Indexname]}-%{+JJJJ.MM.tt}"
 }
}

$ sudo docker run -it -d -p 5044:5044 \
-v ~/logstash/conf.d:/etc/logstash/conf.d \
-v ~/logstash/data/logs:/data/logs \
--name logstash logstash:5.5.0 \
-f /etc/logstash/conf.d/logstash.conf

$ sudo docker pull kibana:5.5.0

$ mkdir ~/kibana && cd ~/kibana
$ vim kibana.yml

Server-Port: 5601
server.host: "0.0.0.0"
elasticsearch.url: "http://172.17.10.114:9200"

$ sudo docker run -it -d -p 5601:5601 \
-v ~/kibana:/etc/kibana \
--name kibana kibana:5.5.0

$ sudo docker pull docker.elastic.co/beats/filebeat:5.5.0

Dateibeat.prospectors:
- Typ: Protokoll
  Pfade:
   - ~/filebeat/logs #Geben Sie den Pfad der zu erfassenden Protokolldateien an:
  indexname: xxx # Tragen Sie hier den Projektnamen entsprechend dem Index => "%{[fields][indexname]}-%{+YYYY.MM.dd}" ein.
Ausgabe.logstash:
 Gastgeber: ["172.17.10.114:5044"]

$ sudo docker run -it -d \
-v ~/filebeat/filebeat.yml:/usr/share/filebeat/filebeat.yml \
--name filebeat docker.elastic.co/beats/filebeat:5.5.0