logging - 在elasticsearch中存储结构化日志

Question

我们考虑将结构化日志存储在elasticsearch中。这是 elasticsearch 新手提出的高级问题。

我不确定我们是否可以在 elasticsearch 中索引结构化日志后删除它们。

我看不出为什么要保留日志。可以再次从 elasticsearch 检索它们。

只要我们有足够的存储空间供 elasticsearch 使用，为什么还要在 elasticsearch 之外保留一份日志副本？

Answer 1

关于 ES 中结构化日志的快速说明...我建议查看 ELK 堆栈:http://www.elasticsearch.org/webinars/elk-stack-devops-environment/

它在传输日志的中心使用 logstash，这是一项久经考验的真实技术。

要真正快速启动和运行，您可以使用为您安装了 ES、logstash 和 Kibana 的 Docker 镜像 (https://registry.hub.docker.com/u/qnib/elk/)。省去了自己想办法解决问题的麻烦。

至于保存日志……我只会在机器上保存一小段日志(2 周？)。使用 logstash 转发器作为客户端 (https://github.com/elasticsearch/logstash-forwarder)，它会自动为您轮换日志。你会想要机器上的日志以防 ES 出现故障。