当前位置：首页 > RockyLinux > 正文

RockyLinux使用ELK栈分析日志（手把手教你搭建ELK日志分析平台）

主机测评网
RockyLinux
2025-12-22
927

在现代IT运维和系统管理中，集中化日志管理是保障系统稳定性和安全性的关键环节。对于使用 RockyLinux 的用户来说，结合强大的 ELK 栈（Elasticsearch、Logstash、Kibana）可以高效地收集、处理、存储和可视化各类日志数据。本文将为你提供一份详细、适合初学者的 RockyLinux ELK日志分析 教程，帮助你从零开始搭建属于自己的日志分析平台。

什么是ELK栈？

ELK 是由三个开源工具组成的日志处理套件：

Elasticsearch：一个分布式的搜索和分析引擎，用于存储和检索日志数据。
Logstash：用于收集、过滤和转发日志数据到 Elasticsearch。
Kibana：提供 Web 界面，用于可视化 Elasticsearch 中的数据。

RockyLinux使用ELK栈分析日志（手把手教你搭建ELK日志分析平台） RockyLinux ELK日志分析 ELK栈安装教程 RockyLinux日志管理 ELK日志可视化第1张

准备工作

本教程基于 Rocky Linux 9，请确保你的系统满足以下条件：

已安装 Rocky Linux 9（最小化安装即可）
具有 sudo 权限的用户
至少 4GB 内存（Elasticsearch 对内存要求较高）
网络连接正常

第1步：安装 Java 环境

ELK 组件依赖 Java 运行环境。我们使用 OpenJDK 17：

sudo dnf install -y java-17-openjdkjava -version

确认输出包含 openjdk version "17.x.x" 即可。

第2步：添加 Elastic 官方仓库

为方便安装，我们导入 Elastic 的 GPG 密钥并添加 YUM 仓库：

sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearchcat <<EOF | sudo tee /etc/yum.repos.d/elastic.repo[elasticsearch]name=Elasticsearch repository for 8.x packagesbaseurl=https://artifacts.elastic.co/packages/8.x/yumgpgcheck=1gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearchenabled=1autorefresh=1type=rpm-mdEOF

第3步：安装 Elasticsearch

sudo dnf install -y elasticsearch

编辑配置文件，允许本地访问（开发测试用）：

sudo sed -i 's/#network.host: 192.168.0.1/network.host: localhost/' /etc/elasticsearch/elasticsearch.ymlsudo sed -i 's/#http.port: 9200/http.port: 9200/' /etc/elasticsearch/elasticsearch.yml

启动并设置开机自启：

sudo systemctl enable --now elasticsearch

验证是否运行成功：

curl http://localhost:9200

应返回类似 JSON 格式的集群信息。

第4步：安装 Logstash

sudo dnf install -y logstash

创建一个简单的 Logstash 配置文件，用于收集系统日志：

cat <<EOF | sudo tee /etc/logstash/conf.d/system.confinput {  file {    path => "/var/log/messages"    start_position => "beginning"    sincedb_path => "/dev/null"  }}filter {  grok {    match => { "message" => "%{SYSLOGTIMESTAMP:timestamp} %{HOSTNAME:hostname} %{DATA:program}(?:\[%{POSINT:pid}\])?: %{GREEDYDATA:message}" }  }}output {  elasticsearch {    hosts => ["http://localhost:9200"]    index => "system-logs-%{+YYYY.MM.dd}"  }}EOF

启动 Logstash：

sudo systemctl enable --now logstash

第5步：安装 Kibana

sudo dnf install -y kibana

修改 Kibana 配置以允许外部访问（仅限测试环境）：

sudo sed -i 's/#server.host: "localhost"/server.host: "0.0.0.0"/' /etc/kibana/kibana.yml

启动服务：

sudo systemctl enable --now kibana

默认 Kibana 监听在 http://服务器IP:5601。打开浏览器访问该地址即可进入 Kibana 控制台。

第6步：在 Kibana 中查看日志

首次登录时，选择 “Explore on my own”。
点击左侧菜单 “Management” → “Stack Management” → “Index Patterns”。
创建索引模式 system-logs-*，时间字段选择 @timestamp。
返回 “Discover” 页面，即可看到实时日志数据。

总结

通过以上步骤，你已经成功在 RockyLinux 上部署了完整的 ELK 栈，实现了系统日志的自动采集、存储与可视化。这套方案不仅适用于学习，也可扩展用于生产环境中的 ELK日志可视化 和 RockyLinux日志管理。后续你可以进一步配置 Filebeat 替代 Logstash 提高性能，或增加 Nginx 反向代理与 HTTPS 加密等安全措施。

希望这篇 ELK栈安装教程 能帮助你轻松入门日志分析！如有疑问，欢迎在评论区交流。