（可選）步驟一：創建角色和用戶

自建Logstash訪問ES或在Kibana中查看Logstash監控時，需要使用ES的賬號，您可以使用elastic用戶或自建用戶。

步驟二：在ECS上安裝Logstash

1. 連接ECS實例。

   具體步驟請參見連接ECS實例。

2. 下載Logstash。

   進入Elastic官網，下載與阿里云ES實例版本一致的Logstash。

   wget https://artifacts.elastic.co/downloads/logstash/logstash-8.5.1-linux-x86_64.tar.gz

   說明

   下載Logstash7.4版本

   wget https://artifacts.elastic.co/downloads/logstash/logstash-7.4.0.tar.gz

3. 對下載的Logstash壓縮包進行解壓縮。

   以8.5.1版本為例。

   tar -xzvf logstash-8.5.1-linux-x86_64.tar.gz

步驟三：配置并執行Logstash遷移任務

1. 進入Logstash目錄。

   cd logstash-8.5.1

2. 創建conf文件。

   touch test.conf

3. 配置test.conf文件。

   配置示例如下。

   input {
       file {
           path => "/your/file/path/xxx"
           }
   }
   filter {
   }
   output {
     elasticsearch {
       hosts => "<http://<instanceId>.elasticsearch.aliyuncs.com:9200>"
     	index => "<index-name>"
       user => "<user-name>"
       password => "<logstash-password>"
     }
   }

   參數	說明
   path	日志文件的路徑。本文以/var/log/messages為例。
   hosts	阿里云ES實例的訪問地址。instanceId為實例ID，可在實例的基本信息頁面獲取。例如：http://es-cn-45xxxxxxxxxxxxju.elasticsearch.aliyuncs.com:9200。
   index	文件寫入目標ES中的索引名字，索引名字自定義。
   user	訪問阿里云ES實例的賬號。 本文使用elastic。 重要 實際業務中建議使用自建用戶，使用elastic用戶會降低系統安全性。 用戶名上需要加英文引號（""），防止在啟動Logstash時，因出現特殊字符報錯。
   password	阿里云ES實例賬號的密碼。 重要 密碼上需要加英文引號（""），防止在啟動Logstash時，因為特殊字符報錯。

   Logstash提供了豐富的input、filter、output插件，只需要簡單的配置即可實現數據的流轉，詳情請參見官方配置文件結構文檔。

4. 啟動logstash。

   bin/logstash -f test.conf

   命令執行成功后，系統會自動通過Logstash獲取日志文件的變化，并提交到阿里云ES集群。只要監控的日志文件有新增內容，Logstash就會自動同步數據到ES集群中。

步驟四：查看遷移成功的數據

1. 登錄目標阿里云ES實例的Kibana控制臺。

   具體步驟，請參見登錄Kibana控制臺。

2. 單擊Kibana頁面左上角的圖標，選擇Management > 開發工具。

3. 在Kibana控制臺中，執行以下命令。

   GET /logstash-*/_search

（可選）步驟五：監控Logstash節點

1. 進入Logstash安裝目錄的config文件中。

   cd logstash-8.5.1/config

2. 配置logstash.yml文件。

   1. 打開logstash.yml文件。

      vim logstash.yml

   2. 在logstash.yml文件中，去掉以下幾個參數的注釋，并配置參數值。

      xpack.monitoring.enabled:true
      xpack.monitoring.elasticsearch.username:"<user-name>"
      xpack.monitoring.elasticsearch.password:"<logstash-password>"
      xpack.monitoring.elasticsearch.hosts:["http://es-cn-nwy3fwjp8xxxxxxx.elasticsearch.aliyuncs.com:9200"]

      參數	說明
      xpack.monitoring.enable	默認為false，需要設置為true。
      xpack.monitoring.elasticsearch.username	您創建的Logstash監控賬號，本文使用elastic用戶。 重要 實際業務中建議使用自建用戶，使用elastic用戶會降低系統安全性。
      xpack.monitoring.elasticsearch.password	Logstash監控用戶的密碼。
      xpack.monitoring.elasticsearch.hosts	阿里云ES實例的訪問地址。例如：http://es-cn-45xxxxxxxxxxxxju.elasticsearch.aliyuncs.com:9200。

3. 返回Logstash安裝目錄，啟動Logstash服務。

   cd ../
   bin/logstash -f test.conf

4. 登錄目標阿里云ES實例的Kibana控制臺。

   具體步驟，請參見登錄Kibana控制臺。

5. 單擊Kibana頁面左上角的圖標，選擇Management > 堆棧監測。

6. （可選）在彈出的Create rules對話框，單擊OK。

7. 在集群概覽頁面，查看Logstash監控信息。