sebp/elk

Elasticsearch, Logstash, Kibana (ELK) Docker 镜像文档

镜像概述和主要用途

本Docker镜像集成了Elasticsearch、Logstash和Kibana（合称ELK栈），提供一站式集中式日志服务器及日志管理Web界面。通过该镜像，用户可快速部署完整的ELK环境，实现日志数据的收集、存储、搜索与可视化分析。

核心功能和特性

核心功能

• 日志收集：通过Logstash接收来自多种数据源（如文件、网络、消息队列等）的日志数据，支持数据过滤、转换与 enrichment。
• 存储与搜索：利用Elasticsearch分布式搜索引擎存储日志数据，提供近实时的全文检索能力，支持复杂查询与聚合分析。
• 可视化分析：通过Kibana Web界面创建交互式仪表盘，直观展示日志数据趋势、异常指标及业务洞察。

特性

• 集成部署：预配置ELK组件间通信，开箱即用，简化传统ELK栈的复杂部署流程。
• 多版本支持：提供多个ELK版本标签（如9.x、8.x、7.x等），满足不同环境的版本兼容性需求。
• OSS版本可选：部分标签提供开源版（OSS）ELK，移除商业特性，适用于对开源协议有严格要求的场景。
• 容器化优势：基于Docker封装，支持跨平台部署，便于与容器编排工具（如Kubernetes）集成。

使用场景和适用范围

典型使用场景

• 日志集中管理：统一收集分布式系统、应用程序、服务器的日志，避免分散式日志查阅的复杂性。
• 系统监控与故障排查：通过日志实时监控系统运行状态，快速定位异常日志，加速故障诊断。
• 安全审计与合规：收集安全设备、应用访问日志，满足合规审计要求，追踪潜在安全威胁。
• 业务数据分析：对用户行为日志、交易日志等进行分析，提炼业务趋势与用户画像。

适用范围

• 企业IT基础设施（服务器、网络设备、云服务）日志管理。
• DevOps流程中的应用监控与问题排查。
• 安全运营中心（SOC）的日志审计与威胁检测。
• 需要日志可视化分析的中小型团队或项目。

使用方法和配置说明

镜像获取

拉取镜像

从Docker Hub拉取镜像，格式为：

bash
docker pull docker.xuanyuan.run/sebp/elk:<标签>

标签说明见下文“版本标签”部分，默认使用latest标签（对应最新稳定版ELK）。

快速部署示例

1. 基础运行命令（docker run）

bash
docker run -d \
  --name elk \
  -p 5601:5601  # Kibana Web界面端口 \
  -p 9200:9200  # Elasticsearch API端口 \
  -p 5044:5044  # Logstash Beats输入端口（用于接收Filebeat等数据） \
  -v /path/to/elk/data:/var/lib/elasticsearch  # 持久化Elasticsearch数据 \
  -e ES_JAVA_OPTS="-Xms2g -Xmx2g"  # 设置Elasticsearch JVM内存（建议至少2GB） \
  sebp/elk:latest

2. Docker Compose配置示例

创建docker-compose.yml文件：

yaml
version: '3'
services:
  elk:
    image: docker.xuanyuan.run/sebp/elk:latest
    container_name: elk
    ports:
      - "5601:5601"  # Kibana
      - "9200:9200"  # Elasticsearch
      - "5044:5044"  # Logstash Beats输入
    volumes:
      - elk_data:/var/lib/elasticsearch  # 数据持久化
      - ./logstash/pipeline:/etc/logstash/pipeline  # 挂载自定义Logstash管道配置
      - ./elasticsearch/config:/etc/elasticsearch  # 挂载自定义Elasticsearch配置
      - ./kibana/config:/etc/kibana  # 挂载自定义Kibana配置
    environment:
      - ES_JAVA_OPTS="-Xms2g -Xmx2g"  # JVM内存配置
    restart: unless-stopped

volumes:
  elk_data:  # 声明数据卷

启动命令：

bash
docker-compose up -d

配置自定义

ELK组件的配置可通过挂载本地配置文件覆盖容器默认配置：

• Elasticsearch：配置文件路径/etc/elasticsearch/elasticsearch.yml，可挂载本地文件至该路径。
• Logstash：管道配置文件存放于/etc/logstash/pipeline/，挂载自定义管道配置文件（如logstash.conf）至该目录。
• Kibana：配置文件路径/etc/kibana/kibana.yml，可挂载本地文件覆盖默认配置（如设置Elasticsearch地址、端口等）。

版本标签说明

镜像提供多个标签，对应不同版本的ELK栈，主要分为稳定版、具体版本号及OSS版本（开源版）。以下为主要版本系列标签说明（完整标签列表可参考https://hub.docker.com/r/sebp/elk/%EF%BC%89%EF%BC%9A

9.x系列

8.x系列（部分主要标签）

7.x及以下系列

包含7.x、6.x、5.x等历史版本，如7.17.1（ELK 7.17.5）、6.8.22（ELK 6.8.22）、5615（ELK 5.6.15）等，具体版本对应关系可参考http://elk-docker.readthedocs.io/%E3%80%82

注意事项

1. 系统资源要求：ELK栈对内存要求较高，建议部署环境至少分配4GB内存，Elasticsearch JVM堆内存推荐设置为系统内存的50%（但不超过31GB）。
2. 数据持久化：生产环境需通过数据卷（如示例中的/path/to/elk/data）挂载Elasticsearch数据目录，避免容器删除导致数据丢失。
3. 安全配置：默认配置未启用认证，生产环境需通过Elasticsearch Security功能（企业版）或第三方工具（如反向代理）启用访问控制。
4. 网络配置：确保宿主机端口未被占用，如需调整端口映射，需同步修改Kibana/Logstash配置中的对应地址。

参考文档

• 完整使用说明：http://elk-docker.readthedocs.io/
• Docker Hub地址：https://hub.docker.com/r/sebp/elk/

关于

本镜像由Sébastien Pujadas开发，基于https://www.apache.org/licenses/LICENSE-2.0%E5%BC%80%E6%BA%90%E3%80%82