为何自定义Elasticsearch-Logstash架构中日志未被索引？

1. 检查Logstash容器运行状态与核心日志 #

先确认Logstash是否正常启动，有没有配置或运行错误：

• 查看容器状态：docker ps | grep logstash，确保容器处于Up状态
• 查看Logstash运行日志：docker logs <logstash-container-id>，重点关注以下错误：
  • 配置文件语法错误（如grok pattern不合法、input/output字段缺失）
  • 日志目录权限拒绝（Permission denied）
  • Elasticsearch连接失败（如host不可达、认证错误）

2. 验证日志目录挂载有效性 #

确保宿主机Docker容器日志目录正确挂载到Logstash容器内：

• 检查docker-compose.yml的volume配置，示例正确配置应为：

  volumes:
    - /var/lib/docker/containers:/var/lib/docker/containers:ro
  

  注意添加:ro只读权限，避免容器误修改宿主机文件
• 进入Logstash容器验证目录访问：docker exec <logstash-container-id> ls /var/lib/docker/containers，若返回权限错误，需调整容器运行用户（如临时用user: root测试）或修改宿主机目录权限

3. 检查logstash.conf配置正确性 #

3.1 Input插件配置 #

确保file插件正确指向Docker JSON日志文件，且配置了必要参数：

input {
  file {
    path => "/var/lib/docker/containers/*/*-json.log"
    codec => "json"  # 直接解析JSON格式日志
    start_position => "beginning"  # 首次挂载时从头读取历史日志
    sincedb_path => "/dev/null"  # 禁用sincedb，避免遗漏日志（按需使用）
  }
}

• 确认path路径与容器内挂载路径完全匹配
• 若未配置codec => json，后续grok无法正确解析JSON结构的日志字段

3.2 Grok提取规则验证 #

若Docker日志已通过codec => json解析，日志中会直接包含container_id字段，无需额外grok提取；若需从message字段提取，需确保grok pattern匹配日志格式：

filter {
  grok {
    match => { "message" => '%{DATA:container_id}' }  # 根据实际message格式调整pattern
    # 或直接引用已解析的JSON字段：add_field => { "container_id" => "%{[container_id]}" }
  }
}

• 可通过docker exec <logstash-container-id> logstash -f /path/to/logstash.conf --config.test_and_exit验证配置语法合法性

3.3 Output插件配置 #

确保Elasticsearch输出配置正确指向集群，且索引规则有效：

output {
  elasticsearch {
    hosts => ["elasticsearch:9200"]  # docker-compose内服务名，需与ES服务名一致
    index => "docker-logs-%{+YYYY.MM.dd}"  # 按日期生成索引
    # 7.x及以上版本无需document_type，若配置会导致报错
  }
}

• 确认ES服务在docker-compose网络内可访问，可通过docker exec <logstash-container-id> ping elasticsearch验证连通性

4. 检查Elasticsearch状态与索引 #

• 访问ES集群确认服务正常：curl http://<es-host>:9200/_cat/health?v，状态应为green或yellow
• 查看是否生成目标索引：curl http://<es-host>:9200/_cat/indices?v，若未找到配置的索引，说明Logstash未成功输出数据

5. 验证Docker日志驱动配置 #

确保Docker daemon使用json-file日志驱动，否则挂载目录不会生成JSON格式日志：

• 检查宿主机/etc/docker/daemon.json配置：

  {
    "log-driver": "json-file"
  }
  

• 若修改过配置，需重启Docker服务：systemctl restart docker

内容的提问来源于stack exchange，提问作者Serkan Gün