DigitalOcean K8s部署ELFK栈后Logstash索引未在Kibana显示怎么办

核心问题定位 #

你没有看到Logstash相关索引，基本是两类原因导致：1. 日志没有从Filebeat正常流入Logstash；2. Logstash到Elasticsearch的写入链路不通/配置异常，没有成功生成索引。

第一步：先排查基础连通性 #

• 先查看Logstash Pod的运行日志，定位具体报错：

  kubectl logs -n kube-system <替换为你的Logstash Pod名称>
  

  常见报错包含：Elasticsearch服务连接失败、配置文件语法错误、Filebeat日志上报端口不通。
• 验证Logstash到ES的连通性：进入Logstash Pod执行命令，确认ES服务可访问

  curl elasticsearch-logging:9200
  

  正常会返回Elasticsearch的版本信息，返回报错的话先解决ES服务的连通性（确认服务名拼写正确、跨namespace网络策略没有拦截、ES本身运行正常）。
• 确认Filebeat的output配置：如果你的Filebeat部署在非kube-system命名空间，需要把Logstash地址写全为logstash-service.kube-system.svc.cluster.local:5044，不能只填logstash-service。

第二步：修改Logstash配置，显式指定索引规则 #

你当前的配置里没有显式指定输出到ES的索引名，默认规则可能因版本兼容问题不生效，同时建议加标准输出调试，确认日志是否流入Logstash。
修改logstash-configmap里的logstash.conf的output段为以下内容：

output {
    # 增加控制台输出，方便在Pod日志里确认有没有日志流入
    stdout {
        codec => rubydebug
    }
    elasticsearch {
        hosts => [ "elasticsearch-logging:9200" ]
        # 显式指定索引命名规则，方便后续Kibana匹配
        index => "logstash-%{+YYYY.MM.dd}"
        # 如果你的ES开启了身份认证，补充下面两行配置，无认证可省略
        # user => "ES用户名"
        # password => "ES密码"
    }
}

第三步：生效配置并验证索引 #

• 更新配置后重启Logstash Deployment：

  kubectl rollout restart deployment logstash-deployment -n kube-system
  

• 等待2分钟后调用ES接口查询索引：

  curl elasticsearch-logging:9200/_cat/indices?v
  

  出现logstash-开头的索引即为写入成功。
• 进入Kibana，依次打开Stack Management -> 索引模式 -> 创建索引模式，匹配规则填写logstash-*，下一步选择@timestamp作为时间字段，创建完成后即可在Discover页面查看Logstash采集的日志。

额外注意事项 #

• 你使用的Logstash版本为6.3.0，需要保证和Elasticsearch、Kibana的大版本完全一致，版本不兼容会导致写入失败。
• 如果Elasticsearch开启了索引生命周期管理（ILM），确认没有配置自动删除logstash-开头的索引的策略。

内容的提问来源于stack exchange，提问作者test test