Docker部署ELK 8.9.1遇问题求助：登录及Logstash部署失败

一、Docker Compose部署后获取Kibana登录密码 #

• 带安全认证的ELK部署时，核心登录用户是elastic，直接重置密码最省心：
  执行命令：docker exec -it elasticsearch /usr/share/elasticsearch/bin/elasticsearch-reset-password -u elastic，按提示操作即可生成新密码
• 如果在Compose的Elasticsearch服务里提前配置了ELASTIC_PASSWORD=your_strong_pass环境变量，直接用这个密码登录Kibana

二、单独部署Logstash失败排查 #

先拉取容器启动日志定位问题：docker logs logstash，常见问题及解决方法：

• ES连接失败：确保ES容器正常运行，两者在同一Docker网络，Logstash配置文件里的ES地址正确；若ES开启认证，需在配置里填写用户名密码
• 配置文件语法错误：验证配置文件合法性：docker exec -it logstash /usr/share/logstash/bin/logstash -f /usr/share/logstash/pipeline/logstash.conf --config.test_and_exit，根据提示修改语法问题
• 内存不足：启动时添加环境变量调整JVM内存：-e LS_JAVA_OPTS="-Xms512m -Xmx1g"
• 最简启动命令示例：

docker run -d \
  --name logstash \
  --network elk-net \
  -v ./logstash/pipeline:/usr/share/logstash/pipeline \
  -e LS_JAVA_OPTS="-Xms512m -Xmx1g" \
  docker.elastic.co/logstash/logstash:8.12.0

三、小型服务日志接入ELK完整流程 #

1. 用Docker Compose搭建稳定ELK环境 #

提供最简可运行的docker-compose.yml（带安全认证）：

version: '3.8'
services:
  elasticsearch:
    image: docker.elastic.co/elasticsearch/elasticsearch:8.12.0
    container_name: elasticsearch
    environment:
      - node.name=es-node
      - cluster.name=es-cluster
      - discovery.type=single-node
      - ELASTIC_PASSWORD=YourStrongPass123 # 自定义强密码
      - xpack.security.enabled=true
    ports:
      - "9200:9200"
      - "9300:9300"
    volumes:
      - es-data:/usr/share/elasticsearch/data
    networks:
      - elk-net

  kibana:
    image: docker.elastic.co/kibana/kibana:8.12.0
    container_name: kibana
    environment:
      - ELASTICSEARCH_HOSTS=http://elasticsearch:9200
      - ELASTICSEARCH_USERNAME=elastic
      - ELASTICSEARCH_PASSWORD=YourStrongPass123 # 和ES密码一致
    ports:
      - "5601:5601"
    depends_on:
      - elasticsearch
    networks:
      - elk-net

volumes:
  es-data:

networks:
  elk-net:
    driver: bridge

执行docker-compose up -d启动服务，等待5分钟左右让ES和Kibana完成初始化。

2. 接入小型服务日志（推荐用Filebeat，轻量高效） #

在上述docker-compose.yml里追加Filebeat服务：

filebeat:
    image: docker.elastic.co/beats/filebeat:8.12.0
    container_name: filebeat
    user: root # 需要权限读取Docker容器日志目录
    volumes:
      - ./filebeat/filebeat.yml:/usr/share/filebeat/filebeat.yml
      - /var/lib/docker/containers:/var/lib/docker/containers:ro
      - /var/run/docker.sock:/var/run/docker.sock:ro
    depends_on:
      - elasticsearch
    networks:
      - elk-net

创建filebeat/filebeat.yml配置文件，指定只收集你的小型服务日志：

filebeat.inputs:
  - type: container
    paths:
      - /var/lib/docker/containers/*/*.log
    processors:
      - add_docker_metadata: ~
      # 替换成你的小型服务容器名，只收集该服务日志
      - drop_event:
          when:
            not:
              equals:
                docker.container.name: "your-app-container-name"

output.elasticsearch:
  hosts: ["elasticsearch:9200"]
  username: "elastic"
  password: "YourStrongPass123"
  index: "app-logs-%{+YYYY.MM.dd}"

setup.kibana:
  host: "kibana:5601"

重启Compose生效：docker-compose up -d

3. 在Kibana中查看日志 #

• 访问http://localhost:5601，用elastic用户和你设置的密码登录
• 进入Stack Management → Index Patterns，创建索引模式app-logs-*，选择@timestamp作为时间字段
• 切换到Discover页面，即可查看、筛选、搜索你的小型服务日志

内容的提问来源于stack exchange，提问作者onebyi3