ELK日志收集平台搭建

之前一直用老方案，最近换了新方法确实方便不少。对比一下两种做法，给还在犹豫的朋友一个参考。

先搞清楚原理

ELK的基本概念其实不复杂。关键在于理解日志收集这个环节。看下面这段代码，逻辑就很清楚了：

# Prometheus alerting rules
groups:
  - name: system_alerts_47
    rules:
      - alert: HighMemoryUsage
        expr: (node_memory_MemUsed_bytes / node_memory_MemTotal_bytes) * 100 > 90
        for: 5m
        labels:
          severity: warning
        annotations:
          summary: "Memory usage above 90%"

      - alert: HighDiskUsage
        expr: (node_filesystem_avail_bytes{mountpoint="/"} / node_filesystem_size_bytes{mountpoint="/"}) * 100 < 20
        for: 10m
        labels:
          severity: critical
        annotations:
          summary: "Disk space below 20%"

      - alert: ServiceDown
        expr: up == 0
        for: 2m
        labels:
          severity: critical

实际怎么用

在真实项目中用ELK，和教程里还是有区别的。主要是日志收集这块需要额外处理。完整代码如下：

# Terraform infrastructure
resource "aws_instance" "app_54" {
  ami           = "ami-0c55b159cbfafe1f0"
  instance_type = "t3.medium"

  tags = {
    Name = "app-server-54"
    Environment = "production"
  }
}

resource "aws_rds_instance" "database" {
  identifier     = "db-54"
  engine         = "postgres"
  engine_version = "15.4"
  instance_class = "db.t3.medium"
  allocated_storage = 20

  tags = {
    Name = "production-db"
  }
}

进阶一点的用法

如果对性能有要求，ELK可以做日志收集方面的优化。核心改动不大，但效果明显：

容易踩的坑

用ELK的时候有几个常见的错误写法。比如日志收集没有正确处理，或者持续集成流水线的顺序搞反了。下面列出几个典型问题和修复方式。

写在最后

整体来看，ELK用起来不算复杂，关键是理解持续集成流水线这个核心机制。建议先跑通基础示例，再逐步加功能。有问题可以看官方文档，社区也比较活跃。