近年來(lái)，IT系統(tǒng)逐漸呈現(xiàn)海量化和異構(gòu)化的趨勢(shì)，企業(yè)每天可能會(huì)產(chǎn)生上百GB甚至TB級(jí)的日志數(shù)據(jù)，如何實(shí)現(xiàn)日志數(shù)據(jù)的集中化接入，以及保障日志管理的持續(xù)拓展性，成為企業(yè)日志管理的一大難點(diǎn)。

01. ELK 日志管理系統(tǒng)

集中化收集和管理所有設(shè)備上的日志的常見(jiàn)解決思路是建立日志管理系統(tǒng)，將所有設(shè)備上的日志統(tǒng)一收集、管理、查看。ELK是目前主流的一種日志管理系統(tǒng)，由三個(gè)開(kāi)源工具組合而成，Elasticsearch+Logstash+Kibana。

① Elasticsearch：是一個(gè)開(kāi)源的實(shí)時(shí)分布式搜索和分析引擎，在Apache Lucene的基礎(chǔ)上開(kāi)發(fā)而成，可用于搜索、分析、存儲(chǔ)數(shù)據(jù)，具有可水平擴(kuò)展、高可用、易維護(hù)等特點(diǎn)。

② Logstash：是一種具有實(shí)時(shí)傳輸能力的數(shù)據(jù)收集管道，用于數(shù)據(jù)收集、解析，并將數(shù)據(jù)發(fā)送給Elasticsearch。

③ Kibana：是一個(gè)開(kāi)源、免費(fèi)的可視化組件，可以為L(zhǎng)ogstash和Elasticsearch提供友好的日志分析Web界面，將日志數(shù)據(jù)轉(zhuǎn)化為各種圖表。

傳統(tǒng)的ELK的架構(gòu)如下所示，在需要收集日志的所有服務(wù)上部署Logstash，收集、過(guò)濾日志數(shù)據(jù)，將過(guò)濾后的內(nèi)容統(tǒng)一發(fā)送給Elasticsearch，用戶可以用Elasticsearch進(jìn)行自定義搜索日志數(shù)據(jù)，也可以通過(guò)Kibana展示、分析日志數(shù)據(jù)。

ELK日志管理系統(tǒng)不僅能夠采集多種來(lái)源的日志數(shù)據(jù)，還可以集中存儲(chǔ)數(shù)據(jù)，以界面化的方式實(shí)時(shí)檢索和分析日志數(shù)據(jù)。但由于Logstash占用資源大，且需要在每一個(gè)終端上都部署Logstash，故ELK日志管理系統(tǒng)新增了一個(gè)工具——Filebeat，它是一個(gè)輕量級(jí)的日志收集處理工具，占用資源少，適合于在各個(gè)終端收集日志數(shù)據(jù)，然后將日志傳輸給Logstash。

ELK日志管理系統(tǒng)的優(yōu)點(diǎn)如下：

• 搜索功能強(qiáng)大：Elasticsearch是全文索引，可以在分布式架構(gòu)系統(tǒng)下快速搜索，通?？梢赃_(dá)到百億級(jí)數(shù)據(jù)的查詢秒級(jí)響應(yīng)

• 集群線性擴(kuò)展：Elasticsearch和Logstash都支持靈活擴(kuò)展
• 可視化展示日志數(shù)據(jù)：將復(fù)雜難懂的非結(jié)構(gòu)化的日志數(shù)據(jù)顯示為圖表信息

即使ELK日志管理系統(tǒng)已經(jīng)如此強(qiáng)大，但實(shí)際上仍存在以下不足：

• 缺少權(quán)限管理，缺少數(shù)據(jù)隔離，日志數(shù)據(jù)的安全性得不到保障，不適用于大中型企業(yè)
• 告警及關(guān)聯(lián)分析能力弱，要求運(yùn)維人員有較深的技術(shù)背景，熟悉Elasticsearch，且需要通過(guò)高頻查看日志來(lái)感知業(yè)務(wù)是否出現(xiàn)異常
• 日志量過(guò)大時(shí)，容易發(fā)生數(shù)據(jù)堵塞
• 需要在多個(gè)終端進(jìn)行部署，且不支持批量部署，部署難度高，時(shí)間成本大

如果想解決以上不足，企業(yè)可以在ELK的基礎(chǔ)上自行建設(shè)一套日志管理系統(tǒng)，或直接購(gòu)買市面上成熟的日志管理系統(tǒng)。

下圖為可參考的一種日志管理系統(tǒng)的架構(gòu)，先在各類終端上批量部署Agent（一種輕量級(jí)的數(shù)據(jù)收集處理工具），Agent實(shí)時(shí)采集日志數(shù)據(jù)，并將采集到的數(shù)據(jù)上報(bào)到Kafka。

Kafka作為日志管理系統(tǒng)的緩沖層，具備海量數(shù)據(jù)堆積、高吞吐讀寫(xiě)的特性，可以為后面的分布式日志消費(fèi)服務(wù)提供異步解耦、削峰填谷的能力。

接著，Transfer作為Kafka的消費(fèi)者客戶端，通過(guò)訂閱Topic實(shí)現(xiàn)日志數(shù)據(jù)的接收，并將非結(jié)構(gòu)化、復(fù)雜難懂的日志數(shù)據(jù)解析成結(jié)構(gòu)化數(shù)據(jù)。

最后，Transfer將解析后的日志數(shù)據(jù)寫(xiě)入Elasticsearch的索引中，完成日志的最終落地。

上圖這種日志管理系統(tǒng)的架構(gòu)優(yōu)勢(shì)是：

• 批量采集多個(gè)終端的日志，降低部署難度，減少部署人力和時(shí)間成本
• 架構(gòu)健壯，不易數(shù)據(jù)堵塞
• 支持在采集過(guò)程中過(guò)濾日志敏感信息，保障企業(yè)安全
• 兼?zhèn)淞薊LK高效日志搜索、集群線性擴(kuò)展的特性

同時(shí)，企業(yè)可以通過(guò)搭建Web界面，開(kāi)發(fā)自定義功能，實(shí)現(xiàn)更多訴求，例如：

• 鑒權(quán)功能與數(shù)據(jù)隔離，既保障日志數(shù)據(jù)的安全性，又便于企業(yè)不同角色各司其職
• 監(jiān)控與告警功能，通過(guò)監(jiān)控日志數(shù)據(jù)，管理員和運(yùn)維部門可以及時(shí)發(fā)現(xiàn)問(wèn)題，輔助定位問(wèn)題，快速處理問(wèn)題，提前預(yù)防問(wèn)題，降低企業(yè)的業(yè)務(wù)損失
• 儀表盤功能，統(tǒng)計(jì)分析日志數(shù)據(jù)，充分挖掘日志數(shù)據(jù)的價(jià)值

這套改進(jìn)后的日志系統(tǒng)雖說(shuō)能夠解決很多企業(yè)管理上的痛點(diǎn)問(wèn)題，但對(duì)于中小型企業(yè)以及主營(yíng)業(yè)務(wù)并非信息技術(shù)的企業(yè)而言，建設(shè)這樣一套日志管理系統(tǒng)的成本及資源投入往往是難以估量和接受的，畢竟一個(gè)靠譜工程師的人力成本至少是50w/年起步。

02. 嘉為藍(lán)鯨-日志管理中心

其實(shí)在國(guó)內(nèi)已經(jīng)有不少優(yōu)秀的日志產(chǎn)品，它們會(huì)專精這一領(lǐng)域不斷優(yōu)化。

如果希望快速搭建起一套企業(yè)級(jí)日志平臺(tái)，注意是企業(yè)級(jí)的平臺(tái)，那完全可以嘗試國(guó)內(nèi)成熟廠商的日志產(chǎn)品，這樣反而能帶來(lái)巨大成本上的節(jié)省，不失為一種好的選擇。

例如我們的嘉為藍(lán)鯨-日志管理中心：

1）日志統(tǒng)一管理

一站式提供日志全生命周期管理服務(wù)，大幅降低用戶日志管理的成本，讓用戶能夠?qū)Ｗ⒂谌罩緮?shù)據(jù)價(jià)值的挖掘。

2）日志全文檢索

提供靈活、高效、方便的日志全文檢索功能，幫助運(yùn)維人員快速定位問(wèn)題。

3）日志運(yùn)維監(jiān)控

通過(guò)日志關(guān)鍵字監(jiān)控和日志指標(biāo)監(jiān)控，協(xié)助運(yùn)維人員實(shí)時(shí)保障業(yè)務(wù)穩(wěn)定。

4）日志統(tǒng)計(jì)分析

可靈活的構(gòu)建可視化儀表盤，幫助用戶實(shí)現(xiàn)業(yè)務(wù)日志數(shù)據(jù)統(tǒng)計(jì)分析。

基于業(yè)界主流的全文檢索引擎，以日志數(shù)據(jù)為中心，實(shí)現(xiàn)了基于多源日志采集、日志清洗、日志存儲(chǔ)和日志檢索的日志統(tǒng)一管理，幫助用戶解決分布式架構(gòu)下日志收集和查詢困難的問(wèn)題；并使用索引集概念作為產(chǎn)品中的數(shù)據(jù)單元，通過(guò)對(duì)日志的監(jiān)控告警和可視化分析，幫助用戶深入挖掘日志數(shù)據(jù)的價(jià)值。

如果想快速搭建起一套企業(yè)級(jí)日志平臺(tái)，可以考慮，若想試用，來(lái)我們官網(wǎng)申請(qǐng)即可。