EFK安裝部署(單節點) elasticsearch+filebeat+kibana 有手就會保姆級別安裝

1、準備環境

宣告需要jdk17依賴，自行安裝配置

ip	cpu	記憶體	服務	環境
192.168.25.149	2	2G	elasticsearch+kibana	centos7+jdk17
192.168.25.148	2	2G	filebeat	centos7+jdk17

#第一部分在192.168.25.149安裝es

2、配置yum源

# 配置 Elastic 官方倉庫sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearchsudotee /etc/yum.repos.d/elastic.repo << EOF[elasticsearch]name=Elasticsearch repository for 7.x packagesbaseurl=https://artifacts.elastic.co/packages/7.x/yumgpgcheck=1gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearchenabled=1autorefresh=1type=rpm-mdEOF

3、安裝配置Elasticsearch

sudo yum install -y elasticsearch# 配置 Elasticsearchsudo vim /etc/elasticsearch/elasticsearch.yml# 叢集名稱cluster.name: elk-cluster# 節點名稱node.name: node-1# 資料和日誌儲存路徑path.data: /var/lib/elasticsearchpath.logs: /var/log/elasticsearch# 網路設定network.host: 192.168.25.149http.port: 9200# 發現設定discovery.type: single-node# 配置記憶體  #因為我的伺服器只有 2GB 記憶體，建議修改 JVM 堆大小：sudo vim /etc/elasticsearch/jvm.options-Xms512m-Xmx512m

4、啟動

# 啟動服務sudo systemctl daemon-reloadsudo systemctl enable elasticsearchsudo systemctl start elasticsearch#關閉防火牆systemctl  stop  firewalld# 驗證服務curl http://192.168.25.149:9200#正確結果[root@localhost elasticsearch]# curl http://192.168.25.149:9200{"name" : "node-1","cluster_name" : "ELK-cluster","cluster_uuid" : "CAS4Rr6NSTmwMW5lK5rJpQ","version" : {"number" : "7.17.28","build_flavor" : "default","build_type" : "rpm","build_hash" : "139cb5a961d8de68b8e02c45cc47f5289a3623af","build_date" : "2025-02-20T09:05:31.349013687Z","build_snapshot" : false,"lucene_version" : "8.11.3","minimum_wire_compatibility_version" : "6.8.0","minimum_index_compatibility_version" : "6.0.0-beta1"  },"tagline" : "You Know, for Search"}

#第二部分在192.168.25.149安裝kibana

1、# 安裝配置Kibana

sudo yum install -y kibana# 配置 Kibanasudo vim /etc/kibana/kibana.ymlserver.port: 5601server.host: "192.168.25.149"elasticsearch.hosts: ["http://192.168.25.149:9200"]i18n.locale: "zh-CN"#中文

2、啟動

# 啟動 Kibanasudo systemctl enable kibanasudo systemctl start kibana

#第三部分在192.168.25.148 安裝filebeat

1、配置yum源

# 配置 Elastic 官方倉庫sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearchsudotee /etc/yum.repos.d/elastic.repo << EOF[elasticsearch]name=Elasticsearch repository for 7.x packagesbaseurl=https://artifacts.elastic.co/packages/7.x/yumgpgcheck=1gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearchenabled=1autorefresh=1type=rpm-mdEOF

2、安裝配置filebeat

#宣告我在本地啟動了一個java服務，收集日誌檔案，你們可以把路徑配置其它服務的日誌，

比如伺服器本身/var/log/message 等等

# 配置 Filebeatsudo vim /etc/filebeat/filebeat.ymlfilebeat.inputs:# 配置輸入源，用於收集日誌資料  - type: log    enabled: true    paths:        - /usr/loca/project/wcc/logs/info.log  #日誌來源    tags: ["info"]  # 為info日誌新增標籤    fields:      logtype: info  # 定義日誌型別為info    fields_under_root: true# 將欄位新增到根級別  - type: log    enabled: true    paths:      - /usr/loca/project/wcc/logs/error.log  #日誌來源    tags: ["error"]  # 為error日誌新增標籤    fields:      logtype: error  # 定義日誌型別為error    fields_under_root: trueoutput.elasticsearch:# 配置輸出到Elasticsearch  hosts: ["192.168.25.149:9200"]  # 指定Elasticsearch主機和埠  indices:    - index: "wcc-info-%{+yyyy.MM.dd}"      when.equals:        logtype: "info"# 當日志型別為info時，使用指定的索引模式    - index: "wcc-error-%{+yyyy.MM.dd}"      when.equals:        logtype: "error"# 當日志型別為error時，使用指定的索引模式setup.template.name: "wcc"# 設定模板名稱為wccsetup.template.pattern: "wcc-*"# 設定模板匹配模式為wcc-*setup.ilm.enabled: false# 停用索引生命週期管理