elk是个很好的日志收集工具，搭建过程复杂，难免遇到一些坑，亲自验证过，过程如下：

一、安装ELK

1、运行ELK镜像需要至少262144内存：

vi /etc/sysctl.conf

在后面添加: vm.max_map_count=262144

2、docker pull sebp/elk

3、运行镜像

docker run -p 5601:5601 -p 9200:9200 -p 5044:5044 -it -d --name elk sebp/elk

3、如无意外打开浏览器即可以访问 http://ip:5601

二、安装Filebeat

1、下载

2、安装

dpkg -i filebeat-6.3.0-amd64.deb

三、配置关联

1、编辑filebeat的配置文件

vim /etc/filebeat/filebeat.yml

如果要收集另外一台服务器，那台服务器也要装filebeat, host IP指向ELK那台服务器地址。

2、编辑logstash的02-beats-input.conf配置文件

docker exec -it elk /bin/bash

cd /etc/logstash/conf.d/

vim 02-beats-input.conf

如果你使用证书，filebeat.yml使用的服务器地址必须使用域名，不能使用IP地址。

3、编辑logstash的30-output.conf配置文件

vim 30-output.conf

hosts的ip后面要加上端口9200, index是和filebeat.yml的fields关联。

4、配置完后重启

service filebeat restart

docker restart elk

另外，查看filebeat 启动情况：ps aux |grep filebeat，

查看docker 启动情况：docker ps

5、配置完后kibana操作

四、安装ELK后kibana的汉化

1、进入docker里面：docker exec –it elk /bin/bash

2、下载汉化工具并解压

unzip master.zip

cd Kibana_Hanization-master 看到有translations文件

3、复杂到下面路径：

cp -r Kibana_Hanization-master/translations /opt/kibana/src/legacy/core_plugins/kibana

4、cd /opt/kibana/config

vi kibana.yml

把 i18n.locale: "zh_CN" 添加进去，然后docker start elk 重启就汉化完成了。

ITPub博客

docker安装elk相关