ELK 遇到的坑

Logstash 啟動問題

1. 提示：Unsupported platform: x86_64-windows

我安裝的是Java 10 ，logstash不支持，所以只能安裝 Java 8

2. 提示：Unrecognized VM option 'UseParNewGC'

將logstash中config文件夾下的jvm.options配置文件中的-XX:UseParNewGC注釋掉

3. 提示：could not create the java virtual machine

logstash.bat原文件中%CLASSPATH%沒有加雙引號，給所有%CLASSPATH%加上雙引號，問題即可解決

Kibana 啟動問題

4. 提示： This version of Kibana requires Elasticsearch v6.5.1 on all nodes. I found the following incompatible nodes in your cluster: v6.4.2 @ 127.0.0.1:9200 (127.0.0.1)

elasticsearch 版本和 Kibana 的版本不一致導致的，將elasticsearch 版本升級和Kibana版本一致即可

獻上我的配置

# https://www.cnblogs.com/aspnethot/articles/5477181.html
input {
    file {
        # 要采集的日志文件路徑，可以使用通配符
        path => "D:\phpStudy\WWW\resource\logs\resource-*.log"
        # 通過自定義字段來指定Elasticsearch的索引
        add_field => { "@__index_name" => "resource_log" }
    }
}
filter {
    # http://grokdebug.herokuapp.com/
    grok {
        # 指定字段匹配的規則
        # 匹配的日志內容樣例：[2019-01-03 16:31:53] BM.INFO: popHotel-originData [null] {"memory_peak_usage":"4 MB"}
        match => { "message" => "\[(?<timestamp>\d{4}-\d{2}-\d{2}\s{1,}\d{2}:\d{2}:\d{2})\]\s{1,}%{GREEDYDATA:data}" } }
    }
}
# 輸出配置
output {
    # 輸出到Elasticsearch
    elasticsearch {
        hosts => ["127.0.0.1:9200"]
        index => "%{@__index_name}-%{+YYYY.MM.dd}"
    }
}