本节书摘来自华章出版社《ELK Stack权威指南 》一书中的第1章，第1节，作者饶琛琳，更多章节内容可以访问云栖社区“华章计算机”公众号查看。
入 门 示 例
什么是Logstash？为什么要用Logstash？怎么用Logstash？这是本章将要介绍的内容。本章从最基础的知识着手，从以下几步介绍Logstash的必备知识。1）下载安装。介绍Logstash软件的多种安装部署方式，并给出推荐的方式。2）初次运行。通过Hello World示例，演示Logstash最简单的运用，解释其逻辑上的基础原理。3）配置语法。介绍Logstash的DSL设计，Logstash命令的运行参数。4）插件安装。灵活和丰富的插件是Logstash最重要的优势。本节会介绍Logstash插件的安装方式。5）长期运行方式。从初次终端测试到长期后台稳定运行，本节会介绍几种不同方案，供读者根据实际场景选择。
1.1 下载安装
1.下载
Logstash从1.5版本开始，将核心代码和插件代码完全剥离，并重构了插件架构逻辑，所有插件都以标准的Ruby Gem包形式发布。
下载官方软件包的方式有以下几种：
压缩包方式
https://artifacts.elastic.co/downloads/logstash/logstash-5.1.1.tar.gz
Debian平台
https://artifacts.elastic.co/downloads/logstash/logstash-5.1.1.deb
Redhat平台
https://artifacts.elastic.co/downloads/logstash/logstash-5.1.1.rpm
2.安装
在上面这些包中，你可能更偏向使用rpm、dpkg等软件包管理工具来安装Logstash，开发者在软件包里预定义了一些依赖。比如，logstash-5.0.2就依赖于jre包。
另外，软件包里还包含有一些很有用的脚本程序，比如/etc/init.d/logstash。
如果你必须在一些很老的操作系统上运行Logstash，那你只能用源代码包部署了，记住要自己提前安装好Java：
yum install openjdk-jre
export JAVA_HOME=/usr/java
tar zxvf logstash-5.0.2.tar.gz
3.最佳实践
但是真正的建议是：如果可以，请用Elasticsearch官方仓库来直接安装Logstash！
Debian平台
wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
sudo apt-get install apt-transport-https
echo "deb https://artifacts.elastic.co/packages/5.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-5.x.list
sudo apt-get update && sudo apt-get install logstash
Redhat平台
sudo rpm --import
https://artifacts.elastic.co/GPG-KEY-elasticsearch
sudo cat > /etc/yum.repos.d/elk.repo <<EOF
[logstash-5.x]
name=Elastic repository for 5.x packages
baseurl=https://artifacts.elastic.co/packages/5.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF
sudo yum install -y logstash
enabled=1
EOF
yum clean all
yum install logstash
1.2 Hello World
与绝大多数IT技术介绍一样，我们也以一个输出“Hello World”的形式开始学习Logstash。
1.命令行运行
在终端中，像下面这样运行命令来启动 Logstash 进程：
# bin/logstash -e 'input{stdin{}}output{stdout{codec=>rubydebug}}'
首先看到终端输出一段进程启动过程的提示输出。提示以"Successfully started Logstash API endpoint {:port=>9600}"结束。
然后你会发现终端在等待你的输入。没问题，敲入Hello World，回车，看看会返回什么结果！
{
"message" =>"Hello World",
"@version" =>"1",
"@timestamp" =>"2014-08-07T10:30:59.937Z",
"host" =>"raochenlindeMacBook-Air.local",
}
没错！就是这么简单。
2.完整示例
命令行运行当然不是什么特别方便的用法，所以绝大多数情况下，我们都是采用额外定义一个logstash.conf配置文件的方式来启动Logstash。下面是我们的第一个完整版logstash.conf的示例：
input {
stdin { }
}
output {
stdout {
codec => rubydebug {}
}
elasticsearch {
Rost=>["127.0.0.1"]
}
}
因为在5.0版本中，Elasticsearch和Kibana都是独立服务。如果你按照上一节的最佳实践配置好了yum的话，通过如下命令启动服务即可：
# service elasticsearch start && service kibana start
然后在终端上这样运行：
# bin/logstash -f logstash.conf
同样，还是输入一次Hello World。你会看到和上一次一样的一段Ruby对象输出。但事实上，这个完整示例可不止如此。打开另一个终端，输入下面一行命令：
# curl http://127.0.0.1:9200/_search?q=hello
你会看到终端上输出下面这么一段内容：
{"took":15,"timed_out":false,"_shards":{"total":27,"successful":27,"failed":0},"hits":{"total":1,"max_score":0.095891505,"hits":[{"_index":"logstash-2015.08.22","_type":"logs","_id":"AU90s1eNgg_P5-w7SB32","_score":0.095891505,"_source":{"message":"Hello World","@version":"1","@timestamp":"2014-08-07T10:30:59.937Z","host":"raochenlindeMacBook-Air.local"}}]}}
这时候你打开浏览器，访问http://127.0.0.1:5601地址，按照提示完成index pattern配置（正常的话只需要点击一下Create按钮），即可点击Discover页面看到如图1-1所示的效果。你在终端上输入的数据，可以从这个页面上任意搜索了。
图1-1 Kibana上搜索的hello world
对index pattern配置有疑惑的读者，可以阅读本书第三部分关于Kibana的章节。
3.解释
每位系统管理员都肯定写过很多类似这样的命令：cat randdata | awk '{print $2}' | sort | uniq -c | tee sortdata。这个管道符|可以算是Linux世界最伟大的发明之一（另一个是“一切皆文件”）。
Logstash就像管道符一样！
输入（就像命令行的cat）数据，然后处理过滤（就像awk或者uniq之类）数据，最后输出（就像tee）到其他地方。
当然实际上，Logstash是用不同的线程来实现这些的。如果你运行top命令然后按下H键，你就可以看到下面这样的输出：
PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
21401 root 16 0 1249m 303m 10m S 18.6 0.2 866:25.46 |worker
21467 root 15 0 1249m 303m 10m S 3.7 0.2 129:25.59 >elasticsearch.
21468 root 15 0 1249m 303m 10m S 3.7 0.2 128:53.39 >elasticsearch.
21400 root 15 0 1249m 303m 10m S 2.7 0.2 108:35.80 <file
21403 root 15 0 1249m 303m 10m S 1.3 0.2 49:31.89 >output
21470 root 15 0 1249m 303m 10m S 1.0 0.2 56:24.24 >elasticsearch.
如上例所示，Logstash很温馨地给每类线程都取了名字，输入的叫<xx，过滤的叫|xx，输出的叫>xx。
数据在线程之间以事件的形式流传。不要叫行，因为Logstash可以处理多行事件。
Logstash会给事件添加一些额外信息。最重要的就是@timestamp，用来标记事件的发生时间。因为这个字段涉及Logstash的内部流转，所以必须是一个joda对象，如果你尝试自己给一个字符串字段重命名为@timestamp的话，Logstash会直接报错。所以，请使用logstash-filter-date插件来管理这个特殊字段。
此外，大多数时候，还可以见到另外几个：
host标记事件发生在哪里。
type标记事件的唯一类型。
tags标记事件的某方面属性。这是一个数组，一个事件可以有多个标签。
你可以随意给事件添加字段或者从事件里删除字段。事实上事件就是一个Ruby对象，或者更简单地理解为就是一个哈希也行。
每个Logstash过滤插件，都会有四个方法叫add_tag、remove_tag、add_field和remove_field，它们在插件过滤匹配成功时生效。
推荐阅读
官网上“the life of an event”文档：http://logstash.net/docs/1.4.2/life-of-an-event
Elastic{ON}上《life of a logstash event》演讲：https://speakerdeck.com/elastic/life-of-a-logstash-event
1.3 配置语法
Logstash社区通常习惯用Shipper、Broker和Indexer来描述数据流中不同进程各自的角色，如图1-2所示。
图1-2 Logstash角色说明
不过我见过很多运用场景里都没有用Logstash作为Shipper，或者说没有用Elasticsearch作为数据存储，也就是说也没有Indexer。所以，我们其实不需要这些概念。只需要学好怎么使用和配置Logstash进程，然后把它运用到你的日志管理架构中最合适它的位置就够了。
1.3.1 语法
Logstash设计了自己的DSL，有点像Puppet的DSL，或许因为都是用Ruby语言写的吧，区域、注释、数据类型（布尔值、字符串数值、数组、哈希）都类似，条件判断、字段引用等也一样。
1.区段（section）
Logstash用{}来定义区域。区域内可以包括插件区域定义，你可以在一个区域内定义多个插件。插件区域内则可以定义键值对设置。示例如下：
input {
stdin {}
syslog {}
}
2.数据类型
Logstash支持少量的数据值类型：
希尔值（bool）
debug => true
字符串（string）
host =>"hostname"
数值（number）
port => 514
数组（array）
match => ["datetime", "UNIX", "ISO8601"]
哈希（hash）
options => {
key1 =>"value1",
key2 =>"value2"
}
如果你用的版本低于1.2.0，哈希的语法跟数组是一样的，像下面这样写：
match => [ "field1", "pattern1", "field2", "pattern2" ]
3.字段引用（field reference）
字段是 Logstash::Event对象的属性。我们之前提过事件就像一个哈希一样，所以你可以想象字段就像一个键值对。
如果你想在Logstash配置中使用字段的值，只需把字段的名字写在中括号[ ]里就行了，这就叫“字段引用”。
对于“嵌套字段”（也就是多维哈希表，或者叫哈希的哈希），每层的字段名都写在[ ]里就可以了。比如，你可以从geoip里这样获取longitude值（是的，这是个笨办法，实际上有单独的字段专门存这个数据的）：
[geoip][location][0]
Logstash的数组也支持倒序下标，即[geoip][location][-1]可以获取数组最后一个元素的值。
Logstash还支持变量内插，在字符串里使用字段引用的方法是这样：
"the longitude is %{[geoip][location][0]}"
4.条件判断（condition）
Logstash从1.3.0版开始支持条件判断和表达式。
表达式支持下面这些操作符：
"equality, etc: ==, !=, <, >, <=, >=
"regexp: =~, !~
"inclusion: in, not in
"boolean: and, or, nand, xor
"unary: !()
通常来说，你都会在表达式里用到字段引用。比如：
if "_grokparsefailure" not in [tags] {
} else if [status] !~ /^2\d\d/ and [url] == "/noc.gif" {
} else {
}
1.3.2 命令行参数
Logstash提供了一个shell脚本叫logstash方便快速运行，下面介绍它支持的参数：
1. -e
意即“执行”。我们在“Hello World”的时候已经用过这个参数了。事实上你可以不写任何具体配置，直接运行bin/logstash -e ''可达到相同效果。这个参数的默认值是下面这样：
input {
stdin { }
}
output {
stdout { }
}
2. --config或-f
意即“文件”。真实运用中，我们会写很长的配置，甚至可能超过shell所能支持的1024个字符长度。所以我们必把配置固化到文件里，然后通过bin/logstash -f agent.conf这样的形式来运行。
此外，Logstash还提供一个方便我们规划和书写配置的小功能。你可以直接用bin/logstash -f /etc/logstash.d/来运行。Logstash会自动读取/etc/logstash.d/目录下所有的文本文件，然后在自己内存里拼接成一个完整的大配置文件，再去执行。
Logstash列出目录下所有文件时是字母排序的。而Logstash配置段的filter和 output都是顺序执行的，所以顺序非常重要。采用多文件管理的用户，推荐采用数字编号方式命名配置文件，同时在配置中严谨采用if判断限定不同日志的动作。
3. --configtest或-t
意即“测试”。用来测试Logstash读取到的配置文件语法是否能正常解析。Logstash配置语法是用grammar.treetop定义的。尤其是使用了上一条提到的读取目录方式的读者，尤其要提前测试。
4. --log或-l
意即“日志”。Logstash默认输出日志到标准错误。生产环境下你可以通过bin/logstash -l logs/logstash.log命令来统一存储日志。
5. --pipeline-workers 或 -w
运行filter和output的pipeline线程数量，默认是CPU核数。
6. --pipeline-batch-size 或 -b
每个Logstash pipeline线程，在执行具体的filter和output函数之前，最多能累积的日志条数，默认是125条。越大性能越好，同样也会消耗越多的JVM内存。
7. --pipeline-batch-delay 或 -u
每个Logstash pipeline线程，在打包批量日志的时候，最多等待几毫秒，默认是5 ms。
8. --pluginpath或-P
可以写自己的插件，然后用bin/logstash --pluginpath /path/to/own/plugins加载它们。
如果你使用的Logstash版本在1.5.0-rc3到1.5.3之间，该参数一度被取消，请改用本地gem插件安装形式。
9. --verbose
输出一定的调试日志。如果你使用的Logstash版本低于1.3.0，则用bin/logstash -v来代替。
10. --debug
输出更多的调试日志。如果你使用的Logstash版本低于1.3.0，则用bin/logstash -vv来代替。
1.3.3 设置文件示例
从Logstash 5.0开始，新增了$LS_HOME/config/logstash.yml文件，可以将所有的命令行参数都通过YAML文件方式设置。同时为了反映命令行配置参数的层级关系，参数也都改成用.而不用-了。
上小节的pipeline相关命令行参数，改用 YAML 文件的写法如下：
pipeline:
workers: 24
batch:
size: 125
delay: 5
1.4 插件安装
从Logstash 1.5.0版本开始，Logstash将所有的插件都独立拆分成gem包。这样，每个插件都可以独立更新，不用等待Logstash自身做整体更新的时候才能使用了。
为了达到这个目标，Logstash配置了专门的plugin管理命令。
plugin命令用法说明如下：
Usage:
bin/logstash-plugin [OPTIONS] SUBCOMMAND [ARG] ...
Parameters:
SUBCOMMAND subcommand
[ARG] ... subcommand arguments
Subcommands:
install Install a plugin
uninstall Uninstall a plugin
update Install a plugin
list List all installed plugins
Options:
-h, --help print help
首先，你可以通过bin/logstash-plugin list查看本机现在有多少插件可用。（其实就在vendor/bundle/jruby/1.9/gems/目录下。）
然后，假如你看到https://github.com/logstash-plugins/下新发布了一个logstash-output-webhdfs模块（当然目前还没有）。打算试试，就只需运行如下命令：
bin/logstash-plugin install logstash-output-webhdfs
同样，假如是升级，只需运行如下命令即可：
bin/logstash-plugin update logstash-input-tcp
bin/logstash-plugin不但可以通过 rubygems平台安装插件，还可以读取本地路径的gem文件，这对自定义插件或者无外接网络的环境都非常有效：
bin/logstash_plugin install /path/to/logstash-filter-crash.gem
执行成功以后。你会发现，logstash-5.0.2目录下的 Gemfile文件最后会多出一段内容：
gem "logstash-filter-crash", "1.1.0", :path =>"vendor/local_gems/d354312c/logstash-filter-mweibocrash-1.1.0"
同时Gemfile.jruby-1.9.lock文件开头也会多出一段内容，如下所示：
PATH
remote: vendor/local_gems/d354312c/logstash-filter-crash-1.1.0
specs:
logstash-filter-crash (1.1.0)
logstash-core (>= 1.4.0, < 2.0.0)
1.5 长期运行方式
完成上一节的初次运行后，你可能会发现一点：一旦你按下Ctrl+C，停下标准输入输出，Logstash进程也就随之停止了。作为一个肯定要长期运行的程序，应该怎么处理呢？
本章节问题对于一个运维来说应该属于基础知识，鉴于ELK用户很多其实不是运维，添加这段内容。
办法有很多种，下面介绍四种最常用的办法。
1.标准的service方式
采用RPM、DEB发行包安装的读者，推荐采用这种方式。发行包内，都自带有sysV或者systemd风格的启动程序/配置，你只需要直接使用即可。以RPM为例，/etc/init.d/logstash脚本中，会加载/etc/init.d/functions库文件，利用其中的daemon函数，将Logstash 进程作为后台程序运行。
所以，你只需把自己写好的配置文件统一放在/etc/logstash/目录下（注意目录下所有配置文件都应该是.conf结尾，且不能有其他文本文件存在，因为logstash agent启动的时候是读取全文件夹的），然后运行service logstash start命令即可。
2.最基础的nohup方式
这是最简单的方式，也是Linux新手们很容易搞混淆的一个经典问题：
command
command > /dev/null
command > /dev/null 2>&1
command &
command > /dev/null &
command > /dev/null 2>&1 &
command &> /dev/null
nohup command &> /dev/null
请回答以上命令的异同……
具体不一一解释了。直接说答案，想要维持一个长期后台运行的Logstash，你需要同时在命令前面加nohup，后面加&。
3.更优雅的screen方式
screen算是Linux运维一个中高级技巧。通过screen命令创建的环境下运行的终端命令，其父进程不是sshd登录会话，而是screen。这样就可以既避免用户退出进程消失的问题，又随时能重新接管回终端继续操作。
创建独立的screen命令如下：
screen -dmS elkscreen_1
连接进入已创建的elkscreen_1的命令如下：
screen -r elkscreen_1
然后你可以看到一个一模一样的终端，运行Logstash之后，不要按Ctrl+C，而是按Ctrl+A+D键，断开环境。想重新接管，依然用screen -r elkscreen_1即可。
如果创建了多个screen，查看列表命令如下：
screen -list
4. 最推荐的daemontools方式
不管是nohup还是screen，都不是可以很方便管理的方式，在运维管理一个ELK集群的时候，必须寻找一种尽可能简洁的办法。所以，对于需要长期后台运行的大量程序（注意大量，如果就一个进程，还是学习一下怎么写init脚本吧），推荐大家使用一款daemontools工具。
daemontools是一个软件名称，不过配置略复杂。所以这里我其实是用其名称来指代整个同类产品，包括但不限于Python实现的supervisord，Perl实现的ubic，Ruby实现的god等。
以supervisord为例，因为这个出来得比较早，可以直接通过EPEL仓库安装。
yum -y install supervisord --enablerepo=epel
在/etc/supervisord.conf配置文件里添加内容，定义你要启动的程序，如下所示：
[program:elkpro_1]
environment=LS_HEAP_SIZE=5000m
directory=/opt/logstash
command=/opt/logstash/bin/logstash -f /etc/logstash/pro1.conf -w 10 -l /var/log/logstash/pro1.log
[program:elkpro_2]
environment=LS_HEAP_SIZE=5000m
directory=/opt/logstash
command=/opt/logstash/bin/logstash -f /etc/logstash/pro2.conf -w 10 -l /var/
log/logstash/pro2.log
然后启动service supervisord start 即可。
Logstash会以supervisord子进程的身份运行，你还可以使用supervisorctl命令，单独控制一系列 Logstash 子进程中某一个进程的启停操作：
supervisorctl stop elkpro_2
相关资源：elk实战指南，权威指南 elk-stack-guide-cn.pdf