Trong hướng dẫn này, chúng tôi sẽ hướng dẫn bạn quy trình chạy Logstash trong vùng chứa Docker với cấu hình cơ bản.
Yêu cầu:
Trước khi chúng ta bắt đầu với hướng dẫn, hãy đảm bảo rằng bạn có những điều sau:
- Docker đã cài đặt trên máy chủ của bạn (khuyến nghị phiên bản 23 trở lên)
- Docker Compose đã cài đặt trên máy của bạn
Khi đã đáp ứng được các yêu cầu nhất định, chúng ta có thể tiếp tục phần hướng dẫn.
Thiết lập tệp cấu hình Logstash
Logstash sử dụng các tệp cấu hình để xác định cách nhập, lọc và gửi dữ liệu đến đầu ra. Có nhiều tùy chọn mà bạn có thể định cấu hình khi bạn có thể tham khảo trên tài liệu chính thức.
Trong ví dụ của chúng tôi, chúng tôi tập trung vào cấu hình cơ bản để nhập dữ liệu từ tệp nhật ký, lọc dữ liệu để tìm bản ghi phù hợp và xuất dữ liệu vào tệp.
Tạo một tệp có tên “logstash.conf” và thêm cấu hình như sau:
đầu vào {tài liệu {
đường dẫn => '/var/log/apache/access.log'
vị trí bắt đầu => 'bắt đầu'
kể từdb_path => '/dev/null'
bỏ qua_older => 0
}
}
lọc {
nếu [tin nhắn] =~ 'LỖI' {
cảm nhận {
khớp => { 'tin nhắn' => '%{COMBINEDAPACHELOG}' }
}
}
}
đầu ra {
tài liệu {
đường dẫn => '/var/log/apache/error_logs.log'
}
}
Tệp trước xác định cấu hình như sau:
- Phần đầu vào – Phần đầu vào sử dụng plugin nhập tệp để đọc tệp nhật ký Apache nằm trong /var/log/apache/access.log.
- Sau đó, chúng tôi đặt vị trí bắt đầu ở đầu để cho phép Logstash đọc toàn bộ tệp từ đầu.
- kể từdb_path - Tham số này cho phép chúng tôi tắt tính năng theo dõi kể từ khi đăng nhập bằng cách đặt giá trị thành /dev/null. Điều này đảm bảo rằng Logstash luôn đọc từ đầu tệp.
- Ignore_older – Đặt giá trị của tham số này thành 0 cho phép Logstash xử lý tất cả các mục của tệp nhật ký.
- Phần bộ lọc – Trong phần bộ lọc, chúng tôi xác định mẫu bộ lọc để kiểm tra xem thông báo nhật ký có chứa từ LỖI hay không. Bạn có thể điều chỉnh các điều kiện để các khối bộ lọc lọc để có kết quả khớp chính xác hơn trong tệp.
- Nếu điều kiện được đáp ứng, chúng tôi sử dụng bộ lọc Grok để phân tích dòng nhật ký Apache bằng cách sử dụng mẫu COMBINEDAPACHELOG là mẫu tích hợp trong Logstash để phân tích nhật ký Apache.
- Phần đầu ra – Phần này cho phép chúng ta xác định định dạng đầu ra cho các mục phù hợp.
- Trong trường hợp của chúng tôi, chúng tôi ghi chúng vào tệp /var/log/apache/error_logs.log bằng tham số đường dẫn.
Điều này sẽ cung cấp cho chúng ta cấu hình Logstash cơ bản cho phép chúng ta thể hiện một số hoạt động cơ bản của Logstash.
Vui lòng tham khảo thêm về cách tạo và định cấu hình quy trình Logstash trong tài nguyên tài liệu được cung cấp sau:
https://www.elastic.co/guide/en/logstash/current/configuration.html
Tạo tệp Docker
Sau khi xác định cấu hình Logstash, chúng ta có thể tiếp tục và tìm hiểu cách chạy vùng chứa. Trong cùng thư mục với tệp “logstash.conf”, hãy tạo một tệp mới có tên “Dockerfile”.
Chỉnh sửa tập tin này và thêm các mục như sau:
TỪ docker.elastic.co/logstash/logstash:8.9.2SAO CHÉP logstash.conf /usr/share/logstash/pipeline/logstash.conf
Trong ví dụ đã cho, chúng tôi xác định hình ảnh cơ sở là hình ảnh Logstash chính thức sử dụng phiên bản 8.9.2.
Sau đó, chúng tôi sao chép tệp “logstash.conf” mà chúng tôi đã tạo vào /usr/share/logstash/pipeline/logstash.conf trong hình ảnh.
Xây dựng hình ảnh Docker
Tiếp theo, điều hướng đến thư mục chứa tệp cấu hình Dockerfile và Logstash. Chạy lệnh sau để xây dựng hình ảnh:
$ docker xây dựng -t tùy chỉnh-logstash-image . 
Chạy bộ chứa Logstash
Bây giờ chúng ta đã xây dựng hình ảnh Docker, chúng ta có thể chạy vùng chứa Logstash bằng lệnh “run” Docker như sau:
$ docker chạy -d --tên logstash-server tùy chỉnh-logstash-hình ảnhThao tác này sẽ chạy vùng chứa Logstash bằng hình ảnh mà chúng ta đã tạo ở bước trước.
Xác minh nhật ký vùng chứa Logstash
Để xác minh rằng Logstash đang chạy chính xác, bạn có thể kiểm tra nhật ký vùng chứa bằng lệnh sau:
$ nhật ký docker < tên vùng chứa >Đầu ra:
Phần kết luận
Trong hướng dẫn này, bạn đã tìm hiểu cách có thể nhanh chóng thiết lập máy chủ Logstash chạy dưới dạng Docker bằng tệp cấu hình tùy chỉnh. Chúng tôi khuyên bạn nên kiểm tra tài liệu về các thông số hình ảnh và các tùy chọn cấu hình.