cgswong/logstash

Logstash Docker镜像

这是一个高度可配置的Logstash Docker镜像，通过https://registry.hub.docker.com/u/cgswong/logstash/%E6%B5%81%E7%A8%8B%E6%9E%84%E5%BB%BA%E5%B9%B6%E5%8F%91%E5%B8%83%E5%88%B0%E5%85%AC%E5%85%B1https://registry.hub.docker.com/%E3%80%82

它通常与Elasticsearch实例（文档数据库）和Kibana（前端）配合使用，组成所谓的ELK栈。

核心功能和特性

• 基于Alpine Linux和Oracle JDK 8构建，镜像大小约537 MB
• 包含默认配置文件logstash.conf，支持处理多种日志类型：
  • syslog（TCP/UDP）
  • Logstash-Forwarder
  • systemd journal
  • Logspout Docker日志
  • Log4J（透传模式）
• 高度可配置，支持多种配置方式（命令行、卷挂载、远程URL）
• 环境变量替换机制，便于动态配置
• 内置SSL证书管理，支持自定义或自动生成证书

使用场景和适用范围

• 日志集中收集与处理
• ELK（Elasticsearch, Logstash, Kibana）栈部署
• 多源日志聚合（系统日志、应用日志、Docker容器日志等）
• 需要灵活配置日志处理流程的场景

使用方法和配置说明

基本使用

启动基本容器需指定Elasticsearch连接字符串，格式为--env LS_ES_CONN_STR=[主机名/IP]:[端口]（多个节点用逗号分隔）：

sh
docker run -d --name logstash --publish 5000:5000 --env LS_ES_CONN_STR=elasticsearch.local:9200 cgswong/logstash

连接Elasticsearch集群示例：

sh
docker run -d --name logstash --publish 5000:5000 --env LS_ES_CONN_STR=esnode1:9200,esnode2:9200,esnode3:9200 cgswong/logstash

端口映射

默认配置暴露以下端口，可根据需求映射：

自定义配置方式

1. 卷挂载配置文件

将本地配置文件挂载到容器的/etc/logstash/conf.d目录：

sh
docker run -d \
  --publish 5000:5000 \
  --publish 5000:5000/udp \
  --publish 5002:5002 \
  --publish 5004:5004 \
  --publish 5006:5006 \
  --publish 4560:4560 \
  --volume /path/to/local/conf:/etc/logstash/conf.d \
  cgswong/logstash

2. 远程配置文件下载

通过环境变量LS_CFG_URL指定远程配置文件URL：

sh
docker run -d \
  --publish 5000:5000 \
  --publish 5000:5000/udp \
  --publish 5002:5002 \
  --publish 5004:5004 \
  --publish 5006:5006 \
  --publish 4560:4560 \
  --env LS_CFG_URL=http://example.com/logstash.conf \
  cgswong/logstash

3. 命令行配置

使用-e参数直接指定配置字符串：

sh
docker run -d --name logstash --publish 5000:5000 cgswong/logstash -e 'input { stdin {} } output { stdout {} }'

环境变量配置

支持以LS_为前缀的环境变量，这些变量会自动替换配置文件中的对应值（移除LS_前缀后匹配）：

sh
docker run -d \
  --publish 5000:5000 \
  --env LS_CFG_URL=http://example.com/logstash.conf \
  --env LS_ES_CONN_STR=elasticsearch.local:9200 \
  --env LS_LOG_LEVEL=info \
  cgswong/logstash

注意：容器必须能够访问配置文件URL，否则将以失败代码退出。

Logstash Forwarder配置

SSL证书管理

• 使用自定义证书：将证书文件挂载到/etc/logstash/ssl目录
• 自动生成证书：当/etc/logstash/ssl目录为空时，容器会自动生成新证书
• 远程证书下载：通过LSF_CERT_URL（证书）和LSF_KEY_URL（密钥）环境变量指定远程证书URL

示例：

sh
docker run -d \
  --publish 5002:5002 \
  --volume /path/to/ssl:/etc/logstash/ssl \
  cgswong/logstash

或使用远程证书：

sh
docker run -d \
  --publish 5002:5002 \
  --env LSF_CERT_URL=http://example.com/cert.pem \
  --env LSF_KEY_URL=http://example.com/key.pem \
  cgswong/logstash

注意：容器必须能够访问证书URL，否则将以失败代码退出。