filebeat.prospectors:
- input_type: log
paths:
- /apps/logs/*/info.log

java -version
java version "1.8.0_181"
Java(TM) SE Runtime Environment (build 1.8.0_181-b13)
Java HotSpot(TM) 64-Bit Server VM (build 25.181-b13, mixed mode)

mkdir /usr/local/elk

cd /usr/local/elk

wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-6.2.4.tar.gz
wget https://artifacts.elastic.co/downloads/logstash/logstash-6.2.4.tar.gz
wget https://artifacts.elastic.co/downloads/kibana/kibana-6.2.4-linux-x86_64.tar.gz

tar  xf  elasticsearch-6.2.4.tar.gz
tar  xf  logstash-6.2.4.tar.gz
tar  xf  kibana-6.2.4-linux-x86_64.tar.gz

#创建软连接

ln -s /usr/local/elk/elasticsearch-6.2.4 /usr/local/elk/elasticsearch
ln -s /usr/local/elk/logstash-6.2.4 /usr/local/elk/logstash
ln -s /usr/local/elk/kibana-6.2.4-linux-x86_64 /usr/local/elk/kibana

创建用户：

ElasticSerach要求以非root身份启动，所以我们要创建一个用户：

创建用户组：

groupadd elk

创建用户加入用户组：

useradd elk -g elk

touch /usr/local/elk/elasticsearch/logs/elasticsearch.log

设置ElasticSerach文件夹为用户elasticsearch所有：

chown -R elk. /usr/local/elk/elasticsearch/

启动ElasticSerach

切换到用户elasticsearch：su elasticsearch

su  -  elk

进入目录/usr/local/elk/elasticsearch；执行启动命令：bin/elasticsearch -d，此时会在后台启动elasticsearch；

cd /usr/local/elk/elasticsearch bin/elasticsearch -d

查看启动日志可执行命令：tail -f /usr/local/elk/elasticsearch/logs/elasticsearch.log 提示如下：

tail -f /usr/local/elk/elasticsearch/logs/elasticsearch.log

通过ss -lntup查看端口号已经启动

执行curl命令检查服务是否正常响应：curl 127.0.0.1:9200，收到响应如下：

至此，ElasticSerach服务启动成功，接下来是Logstash；

2.3 部署Logstash

#退出当前用户，回到root用户

在目录cd /usr/local/elk/logstash下创建文件vim default.conf，内容如下：

# 监听5044端口作为输入
input {beats {port => "5044"}
}
# 数据过滤
filter {grok {match => { "message" => "%{COMBINEDAPACHELOG}" }}geoip {source => "clientip"}
}
# 输出配置为本机的9200端口，这是ElasticSerach服务的监听端口
output {elasticsearch {hosts => ["127.0.0.1:9200"]}
}

后台启动Logstash服务

nohup bin/logstash -f default.conf --config.reload.automatic &

查看启动日志：tail -f logs/logstash-plain.log，启动成功的信息如下：

通过ss -lntup查看端口号已经启动

2.4 部署配置Kibana

打开Kibana的配置文件vim /usr/local/elk/kibana/config/kibana.yml，到第七行

server.host: "10.0.0.175"

这样其他电脑就能用浏览器访问Kibana的服务了；

进入Kibana的目录：/usr/local/elk/kibana ;执行启动命令：nohup bin/kibana &

cd  /usr/local/elk/kibana nohup bin/kibana &

查看启动日志：tail -f nohup.out 以下信息表示启动成功：

在浏览器访问http://10.0.0.175:5601，看到如下页面

至此，ELK服务启动成功，接下来我们将业务日志上报上来，需要操作另一台电脑：docker01；

第3章 部署nginx-server

3.1 安装nginx-server

在已经部署好的docker环境下，部署nginx-server

docker run --name nginx-server -d -p 80:80 -v /var/log/nginx:/var/log/nginx nginx:1.14

通过docker ps -a可以查看到服务已经运行

通过访问页面10.0.0.110

24 　　 enabled: true
28　　　　 - /var/log/nginx/*.log
143　　　 #output.elasticsearch:
145 # hosts: ["localhost:9200"]
153 output.logstash:
155 hosts: ["10.0.0.175:5044"]

egrep -v '^$|#' /usr/local/elk/filebeat/filebeat.yml
filebeat.prospectors:
- type: logenabled: truepaths:- /var/log/nginx/*.log
filebeat.config.modules:path: ${path.config}/modules.d/*.ymlreload.enabled: false
setup.template.settings:index.number_of_shards: 3
setup.kibana:
output.logstash:hosts: ["10.0.0.175:5044"]

nohup ./filebeat -e -c filebeat.yml &>/dev/null &

docker run --name tocat-server -d -p 8080:8080 -v /var/log/tomcat:/usr/local/tomcat/logs tomcat:latest

- type: logenabled: truepaths:- /var/log/tomcat/localhost_access_log.*.txt

最后配置文件内容如下：

egrep -v '^$|#' /usr/local/elk/filebeat/filebeat.yml
filebeat.prospectors:
- type: logenabled: truepaths:- /var/log/nginx/*.log
- type: logenabled: truepaths:- /var/log/tomcat/*
filebeat.config.modules:path: ${path.config}/modules.d/*.ymlreload.enabled: false
setup.template.settings:index.number_of_shards: 3
setup.kibana:
output.logstash:hosts: ["10.0.0.175:5044"]

重启filebeat服务，首先找到这个进程，进行kill掉，再启动filebeat

ps -ef|grep  filebeat
cd /usr/local/elk/filebeat
nohup ./filebeat -e -c filebeat.yml &>/dev/null &

此时在Kibana页面已经可以搜索到Tomcat的访问日志，

以“RequestInfoExample”作为关键词搜索也能搜到对应的访问日志：

第六章  kibana平台增加安全认证

kibana是nodejs开发的，本身并没有任何安全限制，直接浏览url就能访问，如果公网环境非常不安全，可以通过nginx请求转发增加认证，方法如下：

6.1 安装nginx

yum install -y nginx 

在kibana所在的服务器上安装nginx服务，利用nginx的转发指令实现。 
安装好nginx后，进入nginx配置页面，修改如下：

user root;
worker_processes  1;
events {worker_connections  1024;
}
http {include       mime.types;default_type application/octet-stream;sendfile        on;keepalive_timeout  65;server {listen       80;server_name  elk.wzxmt.com;location / {root  /usr/share/nginx/html;index  index.html index.htm;proxy_set_header Host $host;proxy_pass http://127.0.0.1:5601;auth_basic "kibana login auth";auth_basic_user_file /etc/nginx/Kbn_htpasswd;}}
}

上面的配置表示将http://elk.wzxmt.com的请求，转发到服务器的5601端口，同时使用最基本的用户名、密码来认证。

6.2 安装生成密码工具：

yum install httpd-tools

生成密码文件：

[root@elk-server nginx]# htpasswd -bc /etc/nginx/Kbn_htpasswd wzxmt admin
Adding password for user wzxmt
[root@elk-server nginx]# chmod 400 /etc/nginx/Kbn_htpasswd

由于我们nginx使用者为root，所以这一块不需要授予属组权限。

6.3 修改kibana、重启kibana与nginx

vim /usr/local/work/kibana/config/kibana.yml
server.host: "127.0.0.1"

重启kibana与nginx就不再述说；

6.4 web测试

在web端测试访问

输入认证信息，即可访问kibana

第7章  汉化kibana

7.1 安装git

yum install -y git

7.2  下载汉化包

git clone https://github.com/anbai-inc/Kibana_Hanization.git

7.3 进行汉化

第一种方法：cd Kibana_Hanization/oldpython main.py /usr/local/elk/kibana//timelion.bundle.js]已翻译。....恭喜，Kibana汉化完成！第二种方法：（1）拷贝此项目中的translations文件夹到您的kibana目录下的src/legacy/core_plugins/kibana/目录。若您的kibana无此目录，那还是尝试使用第一种方法。
（2）修改您的kibana配置文件kibana.yml中的配置项：i18n.locale: "zh-CN"
（3）重启Kibana，汉化完成　

7.4 重启kibana

可以看到汉化成功。

至此，ELK-6.2.4版本的服务和日志上报的搭建已经完成，后续如果还有业务服务器要上报日志，

只需按照上述步骤安装和配置FileBeat即可；此次部署ELK，只是一个简单的了解，后面还需继续

研究ELK。