itzg/graylog

Graylog Docker镜像

镜像概述和主要用途

Graylog是一个集中式日志解决方案，允许用户聚合和搜索日志。它提供强大的查询语言、用于数据转换的处理管道、告警能力等功能，并可通过REST API完全扩展。插件可从Graylog Marketplace下载。

架构

查看最小化的Graylog架构以了解Graylog部署的整体情况。本质上，Graylog需要与MongoDB通信以存储配置数据，并与Elasticsearch通信以存储实际日志数据。

使用场景和适用范围

适用于需要集中管理、分析和监控日志的场景，如IT基础设施监控、应用程序日志分析、安全事件跟踪等，支持多种日志收集方式和数据处理需求。

使用方法和配置说明

快速启动

若只需快速体验Graylog而无需进一步自定义，可运行以下三个命令创建必要环境：

bash
$ docker run --name mongo -d mongo:3
$ docker run --name elasticsearch \
    -e "http.host=0.0.0.0" -e "xpack.security.enabled=false" \
    -d docker.elastic.co/elasticsearch/elasticsearch:5.5.1
$ docker run --link mongo --link elasticsearch \
    -p 9000:9000 -p 12201:12201 -p 514:514 \
    -e GRAYLOG_WEB_ENDPOINT_URI="http://127.0.0.1:9000/api" \
    -d graylog/graylog:2.3.2-1

配置设置

Graylog默认配置可直接使用，但需设置管理员用户密码，且Web界面需知道如何从浏览器连接到Graylog API。两者均可通过环境变量实现：

bash
  -e GRAYLOG_PASSWORD_SECRET=somepasswordpepper  # 密码加密盐值
  -e GRAYLOG_ROOT_PASSWORD_SHA2=8c6976e5b5410415bde908bd4dee15dfb167a9c873fc4bb8a81f6f2ab448a918  # admin用户密码的SHA256哈希
  -e GRAYLOG_WEB_ENDPOINT_URI="http://127.0.0.1:9000/api"  # Web界面连接API的地址

此时可使用用户admin和密码admin登录Graylog。使用以下命令生成自定义密码的SHA256哈希：

bash
$ echo -n yourpassword | shasum -a 256

Docker Compose配置示例

可将上述配置整合到docker-compose.yml文件中：

yaml
version: '2'
services:
  # MongoDB: https://hub.docker.com/_/mongo/
  mongo:
    image: mongo:3
  # Elasticsearch: https://www.elastic.co/guide/en/elasticsearch/reference/5.5/docker.html
  elasticsearch:
    image: docker.elastic.co/elasticsearch/elasticsearch:5.5.2
    environment:
      - http.host=0.0.0.0
      # 禁用X-Pack安全: https://www.elastic.co/guide/en/elasticsearch/reference/5.5/security-settings.html#general-security-settings
      - xpack.security.enabled=false
      - "ES_JAVA_OPTS=-Xms512m -Xmx512m"
    ulimits:
      memlock:
        soft: -1
        hard: -1
    mem_limit: 1g
  # Graylog: https://hub.docker.com/r/graylog/graylog/
  graylog:
    image: graylog/graylog:2.3.2-1
    environment:
      # 请修改为自定义值
      - GRAYLOG_PASSWORD_SECRET=somepasswordpepper
      # 密码: admin
      - GRAYLOG_ROOT_PASSWORD_SHA2=8c6976e5b5410415bde908bd4dee15dfb167a9c873fc4bb8a81f6f2ab448a918
      - GRAYLOG_WEB_ENDPOINT_URI=http://127.0.0.1:9000/api
    links:
      - mongo
      - elasticsearch
    ports:
      # Graylog Web界面和REST API
      - 9000:9000
      # Syslog TCP
      - 514:514
      # Syslog UDP
      - 514:514/udp
      # GELF TCP
      - 12201:12201
      # GELF UDP
      - 12201:12201/udp

使用docker-compose up启动三个容器后，在浏览器中访问http://127.0.0.1:9000，使用admin:admin登录。

持久化日志数据

为使Graylog的日志数据和配置持久化，可使用外部卷存储所有数据。容器重启时可复用之前实例的现有数据。

若需自定义Graylog配置文件（如Log4j 2配置），可从GitHub下载默认文件并放入专用Docker卷中。

创建配置目录并复制默认文件：

bash
mkdir -p ./graylog/config
cd ./graylog/config
wget https://raw.githubusercontent.com/Graylog2/graylog2-images/2.3/docker/config/graylog.conf
wget https://raw.githubusercontent.com/Graylog2/graylog2-images/2.3/docker/config/log4j2.xml

对应的docker-compose.yml文件如下：

yaml
version: '2'
services:
  # MongoDB: https://hub.docker.com/_/mongo/
  mongo:
    image: mongo:3
    volumes:
      - mongo_data:/data/db
  # Elasticsearch: https://www.elastic.co/guide/en/elasticsearch/reference/5.5/docker.html
  elasticsearch:
    image: docker.elastic.co/elasticsearch/elasticsearch:5.5.2
    volumes:
      - es_data:/usr/share/elasticsearch/data
    environment:
      - http.host=0.0.0.0
      - transport.host=localhost
      - network.host=0.0.0.0
      # 禁用X-Pack安全: https://www.elastic.co/guide/en/elasticsearch/reference/5.5/security-settings.html#general-security-settings
      - xpack.security.enabled=false
      - "ES_JAVA_OPTS=-Xms512m -Xmx512m"
    ulimits:
      memlock:
        soft: -1
        hard: -1
    mem_limit: 1g
  # Graylog: https://hub.docker.com/r/graylog/graylog/
  graylog:
    image: graylog/graylog:2.3.2-1
    volumes:
      - graylog_journal:/usr/share/graylog/data/journal
      - ./graylog/config:/usr/share/graylog/data/config
    environment:
      # 请修改为自定义值
      - GRAYLOG_PASSWORD_SECRET=somepasswordpepper
      # 密码: admin
      - GRAYLOG_ROOT_PASSWORD_SHA2=8c6976e5b5410415bde908bd4dee15dfb167a9c873fc4bb8a81f6f2ab448a918
      - GRAYLOG_WEB_ENDPOINT_URI=http://127.0.0.1:9000/api
    links:
      - mongo
      - elasticsearch
    ports:
      # Graylog Web界面和REST API
      - 9000:9000
      # Syslog TCP
      - 514:514
      # Syslog UDP
      - 514:514/udp
      # GELF TCP
      - 12201:12201
      # GELF UDP
      - 12201:12201/udp

# 用于持久化数据的卷，参见 https://docs.docker.com/engine/admin/volumes/volumes/
volumes:
  mongo_data:
    driver: local
  es_data:
    driver: local
  graylog_journal:
    driver: local

使用以下命令启动所有服务：

bash
docker-compose up

配置说明

所有配置选项均可通过环境变量设置，https://github.com/Graylog2/graylog2-server/blob/master/misc/graylog.conf%E3%80%82%E5%8F%AA%E9%9C%80%E5%B0%86%E5%8F%82%E6%95%B0%E5%90%8D%E5%89%8D%E7%BC%80%E6%94%B9%E4%B8%BA%60GRAYLOG_%60%E5%B9%B6%E8%BD%AC%E4%B8%BA%E5%A4%A7%E5%86%99%E5%8D%B3%E5%8F%AF%E3%80%82%E5%8F%A6%E4%B8%80%E7%A7%8D%E6%96%B9%E5%BC%8F%E6%98%AF%E5%B0%86%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6%E5%AD%98%E5%82%A8%E5%9C%A8%E5%AE%B9%E5%99%A8%E5%A4%96%E9%83%A8%E5%B9%B6%E7%9B%B4%E6%8E%A5%E7%BC%96%E8%BE%91%E3%80%82

文档

Graylog文档托管在此处。使用前请阅读文档并熟悉功能，再通过https://github.com/Graylog2/graylog2-server/issues%E5%8F%8D%E9%A6%88%E9%97%AE%E9%A2%98%E3%80%82

许可证

此Docker镜像基于Apache 2.0许可证授权，参见LICENSE。

Graylog本身基于GNU Public License 3.0许可证授权，参见https://github.com/Graylog2/graylog2-server/blob/master/COPYING%E3%80%82