1.拉取Logstash鏡像(注意與ES版本保持一致)

docker pull logstash:7.5.1

2.啟動(dòng)容器

docker run --name logstash -d -p 5044:5044 --net esnet 8b94897b4254

命令中的--net設(shè)置的網(wǎng)絡(luò)要和ES、kibana保持一致

創(chuàng)新互聯(lián)公司于2013年成立，先為德宏州等服務(wù)建站，德宏州等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢服務(wù)。為德宏州企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問(wèn)題。

3.修改Logstash配置文件

該配置文件是config文件夾下的logstash.yml

// 0.0.0.0：允許任何IP訪問(wèn)
http.host: "0.0.0.0"
// 配置elasticsearch集群地址
xpack.monitoring.elasticsearch.hosts: [ "http://192.168.172.131:9200","http://192.168.172.129:9200","http://192.168.172.128:9200" ]
// 允許監(jiān)控
xpack.monitoring.enabled: true
// 啟動(dòng)時(shí)讀取配置文件指定
path.config: /usr/share/logstash/config/logstash.conf
// 指定的該文件可以配置Logstash讀取一些文件導(dǎo)入ES

4.logstash.conf配置

# Sample Logstash configuration for creating a simple
# Beats -> Logstash -> Elasticsearch pipeline.

input {
  //這塊端口可以不配，因?yàn)槟J(rèn)就是5044端口
  beats {
    port => 5044
  }
}

output {
  elasticsearch {
    // 配置成ES節(jié)點(diǎn)，集群則可以配置所有節(jié)點(diǎn)
    hosts => ["http://localhost:9200"]
    // 可以自定義
    index => "%{[@metadata][beat]}-%{[@metadata][version]}-%{+YYYY.MM.dd}"
    #user => "elastic"
    #password => "changeme"
  }
}

如果在logstash啟動(dòng)的時(shí)候要導(dǎo)入文檔

配置如下：

input {
  file {
    path => "/usr/share/logstash/bin/file.csv"
    start_position => "beginning"
    sincedb_path => "/dev/null"
  }
}

`````
output {
   elasticsearch {
     hosts => "http://localhost:9200"
     index => "file"
     document_id => "%{id}"
   }
  stdout {}
}

當(dāng)然，7.X版本默認(rèn)只有一個(gè)主分片和一個(gè)副分片，如果我們想要指定多個(gè)分片，那么需要在啟動(dòng)logstash的時(shí)候預(yù)先創(chuàng)建好索引，并設(shè)置好分片分配

PUT /file
{
  "settings": {
    "number_of_shards": 3,
    "number_of_replicas": 1
  }
}