在现代IT运维和系统管理中，集中化日志管理是保障系统稳定性和安全性的关键环节。对于使用 RockyLinux 的用户来说，结合强大的 ELK 栈（Elasticsearch、Logstash、Kibana）可以高效地收集、处理、存储和可视化各类日志数据。本文将为你提供一份详细、适合初学者的 RockyLinux ELK日志分析 教程，帮助你从零开始搭建属于自己的日志分析平台。
什么是ELK栈？
ELK 是由三个开源工具组成的日志处理套件：
Elasticsearch：一个分布式的搜索和分析引擎，用于存储和检索日志数据。 Logstash：用于收集、过滤和转发日志数据到 Elasticsearch。 Kibana：提供 Web 界面，用于可视化 Elasticsearch 中的数据。
准备工作
本教程基于 Rocky Linux 9，请确保你的系统满足以下条件：
已安装 Rocky Linux 9（最小化安装即可） 具有 sudo 权限的用户 至少 4GB 内存（Elasticsearch 对内存要求较高） 网络连接正常第1步：安装 Java 环境
ELK 组件依赖 Java 运行环境。我们使用 OpenJDK 17：
sudo dnf install -y java-17-openjdkjava -version
确认输出包含
openjdk version "17.x.x"即可。
第2步：添加 Elastic 官方仓库
为方便安装，我们导入 Elastic 的 GPG 密钥并添加 YUM 仓库：
sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearchcat <<EOF | sudo tee /etc/yum.repos.d/elastic.repo[elasticsearch]name=Elasticsearch repository for 8.x packagesbaseurl=https://artifacts.elastic.co/packages/8.x/yumgpgcheck=1gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearchenabled=1autorefresh=1type=rpm-mdEOF
第3步：安装 Elasticsearch
sudo dnf install -y elasticsearch
编辑配置文件，允许本地访问（开发测试用）：
sudo sed -i 's/#network.host: 192.168.0.1/network.host: localhost/' /etc/elasticsearch/elasticsearch.ymlsudo sed -i 's/#http.port: 9200/http.port: 9200/' /etc/elasticsearch/elasticsearch.yml
启动并设置开机自启：
sudo systemctl enable --now elasticsearch
验证是否运行成功：
curl http://localhost:9200
应返回类似 JSON 格式的集群信息。
第4步：安装 Logstash
sudo dnf install -y logstash
创建一个简单的 Logstash 配置文件，用于收集系统日志：
cat <<EOF | sudo tee /etc/logstash/conf.d/system.confinput { file { path => "/var/log/messages" start_position => "beginning" sincedb_path => "/dev/null" }}filter { grok { match => { "message" => "%{SYSLOGTIMESTAMP:timestamp} %{HOSTNAME:hostname} %{DATA:program}(?:\[%{POSINT:pid}\])?: %{GREEDYDATA:message}" } }}output { elasticsearch { hosts => ["http://localhost:9200"] index => "system-logs-%{+YYYY.MM.dd}" }}EOF
启动 Logstash：
sudo systemctl enable --now logstash
第5步：安装 Kibana
sudo dnf install -y kibana
修改 Kibana 配置以允许外部访问（仅限测试环境）：
sudo sed -i 's/#server.host: "localhost"/server.host: "0.0.0.0"/' /etc/kibana/kibana.yml
启动服务：
sudo systemctl enable --now kibana
默认 Kibana 监听在
http://服务器IP:5601。打开浏览器访问该地址即可进入 Kibana 控制台。
第6步：在 Kibana 中查看日志
首次登录时，选择 “Explore on my own”。 点击左侧菜单 “Management” → “Stack Management” → “Index Patterns”。 创建索引模式system-logs-*，时间字段选择
@timestamp。 返回 “Discover” 页面，即可看到实时日志数据。
总结
通过以上步骤，你已经成功在 RockyLinux 上部署了完整的 ELK 栈，实现了系统日志的自动采集、存储与可视化。这套方案不仅适用于学习，也可扩展用于生产环境中的 ELK日志可视化 和 RockyLinux日志管理。后续你可以进一步配置 Filebeat 替代 Logstash 提高性能，或增加 Nginx 反向代理与 HTTPS 加密等安全措施。
希望这篇 ELK栈安装教程 能帮助你轻松入门日志分析！如有疑问，欢迎在评论区交流。
