ELK日志平台 常见问题

常见问题

• ES 内存给多少合适？JVM 堆通常设为容器内存的一半左右，剩下的留给文件系统缓存。堆不是越大越好，超过压缩指针阈值后性价比会下降，具体上限以官方文档为准。
• Filebeat 和 Logstash 都要装吗？不是必须。日志格式已经很规整时，可以让 Filebeat 直接输出到 Elasticsearch，省掉 Logstash 这一跳；只有需要复杂解析、跨源合并或多路输出时才引入 Logstash。
• 为什么 Kibana 里搜不到刚写的日志？先确认索引模式的时间字段选的是 @timestamp，再检查 Logstash 的 date filter 是否正确解析，最常见的原因是日志内时间被解析失败后回退成采集时间，落在时间范围之外。
• 能不能用它存审计日志？可以，但审计日志对完整性与防篡改要求更高，建议单独集群或使用带写一次读多次语义的存储方案，不要和普通业务日志混在同一个索引里。