Logstash: installatie

dit document beschrijft de installatie van Logstash

1. Java: Java Runtime
2. voeg ELK stack repository toe
3. jq

1. installeer logstash:
   1. YUM:

      sudo yum install logstash

   2. APT:

      sudo apt-get install logstash

2. indien /tmp directory mount optie noexec heeft, voer onderstaande stappen uit:
   1. open /etc/logstash/jvm.options
   2. vervang
      1. #-Djava.io.tmpdir=$HOME door:
      2. -Djava.io.tmpdir=/var/lib/logstash/tmp
   3. maak de vermelde directory aan en stel toegangsrechten in:

      mkdir /var/lib/logstash/tmp && chown logstash:logstash /var/lib/logstash/tmp && chmod -R 2777 /var/lib/logstash/tmp

3. open /etc/logstash/log4j2.properties
   1. zet onderstaande lijnen in commentaar (#):

      rootLogger.appenderRef.console.ref = ${sys:ls.log.format}_console
      logger.slowlog.appenderRef.console_slowlog.ref = ${sys:ls.log.format}_console_slowlog

4. activeer logstash @bootup:

   sudo systemctl enable logstash 

5. start logstash:

   sudo systemctl start logstash

6. open /var/log/logstash/logstash-plain.log: Gezien er nog geen config bestand bestaat, wordt logstash endpoint gestart en daarna terug afgesloten. Dit is NIET de service zelf

• voer een eerste pipeline uit waarmee je een tekstboodschap naar output stuurt:

  cd /usr/share/logstash/bin
  sudo ./logstash -e 'input { stdin { } } output { stdout {} }' 
  <type een willekeurige tekst en sluit af met ctrl,D>

• je kan ook de data naar je elasticsearch sturen:

  ./logstash -e 'input { stdin { } } output { elasticsearch { hosts => ["<IP/Hostname>"] } }'

  

• controleer het resultaat in elasticsearch: curl http://elk:9200/logstash-*/_search
• met jq kan je het JSON-bestand proper weergeven:curl http://elk:9200/logstash-*/_search|jq .

Ga nu verder met de logstash_configuratie

voeg hier linken toe naar verdere uitleg