Debian tabanlı sistemlerde Elasticsearch, Logstash, Kibana kurulumu

ELK-kurulumu.md

ELK (Elasticsearch, Logstash, Kibana) Kurulumu

Bu kılavuz Debian tabanlı Linux sistemlerde (Debian, Ubuntu, Mint, Pardus gibi) Filebeat ile birlikte ELK (Elasticsearch, Logstash, Kibana) kurulumunu anlatır.

1. Kurulum yapılacak sistemde Java sürümü 8 veya üstü olmalıdır. java -version komutu ile sürüm kontrol edilebilir.
2. wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add - komutuylaa Elastic APT deposunun anahtarını sisteme tanımlamak için çalıştırılır.
3. echo "deb https://artifacts.elastic.co/packages/5.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-5.x.list komutu ile Elastic APT deposu sisteme eklenir.
4. sudo apt-get update && sudo apt-get install -y elasticsearch logstash kibana filebeat komutu ile Elasticsearch, Logstach, Kibana bileşenleri ve Filebeat ajan yazılımı kurulur.
5. /etc/filebeat/filebeat.yml dosyası dilediğiniz bir metin editörü yardımıyla (sudo olarak!) açılarak Elasticsearch'e ait olan alanlar silinmeli ya da ('#' ile) yorum satırı haline getirilmelidir. Aşağıda gösterildiği gibi Logstash alanlarıysa açılarak, Filebeat'in log kayıtlarını Logstash'e yönlendirmesi sağlanır:

#output.elasticsearch:
  # Array of hosts to connect to.
  #hosts: ["localhost:9200"]

  # Optional protocol and basic auth credentials.
  #protocol: "https"
  #username: "elastic"
  #password: "changeme"

#----------------------------- Logstash output --------------------------------
output.logstash:
  # The Logstash hosts
  hosts: ["localhost:5044"]

6. Logstash'in gelen log dosyalarını anlamlı hale getirebilmesi içinse /etc/logstash/conf.d/ altına (örneğin filebeat-linux.conf adında) bir conf dosyası aşağıdaki içerikle oluşturulmalıdır:

input {
  beats {
      port => 5044
  }
}

filter {
  grok {
      match => [ "message", "%{COMMONAPACHELOG}" ]
  }
}

output {
  elasticsearch {
      hosts => "localhost:9200"
  }
}

7. Tüm servisler çalıştırılarak ( sudo service kibana start && sudo service elasticsearch start && sudo service logstash start && sudo service filebeat start ) ELK sistemi kullanılabilir hale gelir.
8. Kibana'ya web tarayıcınızdan localhost:5601 URL'i üzerinden erişebilirsiniz. İlk erişimde bir örüntü oluşturulmasını isteyecektir. Bunun için ilgili alana filebeat-* değeri girilmelidir.