★ FEATURED ARTICLE 本教程演示如何在自行管理的环境中安装和配置最新的 Elastic Stack 9.5.5 版本。按照这些步骤你将搭建一个包含三个节点的 Elasticsearch 集群并部署 Kibana、Fleet Server 和 Elastic Agent各组件分别运行在独立主机上。Elastic Agent 配置了 System 集成可采集本地系统日志和指标并将其发送到 Elasticsearch 集群。最后本教程将介绍如何在 Kibana 中查看这些系统数据。注意此安装流程依赖 Elasticsearch 的自动安全设置该功能会在首次安装时默认启用安全保护。如果你计划使用自定义证书例如企业提供的证书或受公共信任的证书或者需要为浏览器与 Kibana 之间的通信配置 HTTPS可以结合为自行管理的 Elastic Stack 自定义 TLS 证书教程进行操作。有关更多详细信息请参阅安全概述。前提条件与假设开始之前你需要准备以下资源一组用于安装各个 Elastic Stack 组件的虚拟或物理主机。每台主机上均有一个具备sudo权限的用户账户并已安装curl。本指南中的示例使用 RPM 软件包在运行 Red Hat Enterprise Linux 或兼容发行版例如 Rocky Linux的主机上安装 Elastic Stack 9.5.5 组件。有关其他安装方式的说明请参阅安装 Elasticsearch。有关受支持操作系统和平台的完整列表请参阅 Elastic 支持矩阵。本教程需要以下软件包elasticsearch-9.5.5-x86_64.rpmkibana-9.5.5-x86_64.rpmelastic-agent-9.5.5-linux-x86_64.tar.gz注意对于 Elastic Agent 和 Fleet Server两者均使用 elastic-agent-9.5.5-linux-x86_64.tar.gz 软件包我们建议使用 TAR/ZIP 软件包而非 RPM/DEB 系统软件包因为只有前者支持通过 Fleet 进行升级。本教程不涉及防火墙、代理服务器等特殊配置。有关正常完成安装所需的基本端口和协议请参阅下一节概述。Elastic Stack 概述开始之前请先花一点时间了解 Elastic Stack 的各个组件。如需进一步了解 Elastic Stack 及其各组件之间的关系请参阅 Elastic Stack 概述。本教程中的示例使用以下主机地址组件示例主机名示例 IP 地址Elasticsearch 节点 1es-node1203.0.113.21Elasticsearch 节点 2es-node2203.0.113.22Elasticsearch 节点 3es-node3203.0.113.23Kibanakibana-host203.0.113.31Fleet Serverfleet-server-host203.0.113.41这些地址仅用于文档示例。请将其替换为你所在环境中的实际值。安全概述本教程将搭建一个默认启用安全保护的环境但并非所有连接都采用相同的证书模式。开始之前了解以下步骤所形成的安全配置会有所帮助Elasticsearch 在首次安装过程中使用自动安全设置。此过程会生成证书并为传输层和 HTTP 层启用 TLS。Kibana 使用 Elasticsearch 初始设置中的注册流程连接到 Elasticsearch。本教程不配置浏览器与 Kibana 之间通信所用的 HTTPS但强烈建议在生产环境中启用。有关此配置的说明请参阅为自行管理的 Elastic Stack 自定义 TLS 证书。Fleet Server 使用快速入门流程安装该流程为其 HTTPS 端点使用自签名证书。Elastic Agent 使用上述快速入门流程进行注册因此安装命令中需要包含--insecure标志。注意如果你计划使用由组织内部证书颁发机构CA或公共 CA 签发的证书请先完成本教程至第 7 步安装 Kibana然后在安装 Fleet Server 和 Elastic Agent 之前继续按照为自行管理的 Elastic Stack 自定义 TLS 证书教程进行操作。第 1 步设置第一个 Elasticsearch 节点首先使用 RPM 在第一台主机上安装 Elasticsearch。这个初始 Elasticsearch 节点将引导创建一个新集群。有关以下所有步骤的详细说明请参阅使用 RPM 安装 Elasticsearch。注意有关其他受支持安装方式的操作步骤请参阅安装 Elasticsearch。1登录你计划设置第一个 Elasticsearch 节点的主机。2为安装包创建一个工作目录mkdir elastic-install-files3进入新建的目录cd elastic-install-files4从 Elastic 制品仓库下载 Elasticsearch RPM 软件包及校验和文件curl -L -O https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-9.5.5-x86_64.rpm curl -L -O https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-9.5.5-x86_64.rpm.sha5125可选将下载的 RPM 软件包的 SHA 哈希值与发布的校验和进行比对以验证软件包的完整性sha512sum -c elasticsearch-9.5.5-x86_64.rpm.sha512该命令应返回以下结果elasticsearch-9.5.5-x86_64.rpm: OK.6)可选导入用于验证 RPM 软件包签名的 Elasticsearch GPG 密钥sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch7运行 Elasticsearch 安装命令sudo rpm --install elasticsearch-9.5.5-x86_64.rpmElasticsearch 安装过程会默认启用部分安全功能包括身份验证和授权包括内置的elastic超级用户账户。传输层和 HTTP 层的 TLS 证书及密钥存储在/etc/elasticsearch/certs中并自动配置为供 Elasticsearch 使用。传输接口绑定到回环接口localhost阻止其他节点加入集群HTTP 接口则监听所有网络接口http.host: 0.0.0.0。8将安装命令的终端输出复制到本地文件中。尤其需要保存内置elastic超级用户账户的密码。输出还包含将 Elasticsearch 配置为服务运行的命令下一步将用到这些命令。9运行以下两条命令使 Elasticsearch 能够通过systemd作为服务运行并在主机系统重启时自动启动。有关更多详细信息请参阅使用 systemd 运行 Elasticsearchsudo systemctl daemon-reload sudo systemctl enable elasticsearch.service第 2 步配置第一个 Elasticsearch 节点的网络连接在继续配置其他 Elasticsearch 节点之前需要先更新第一个节点的 Elasticsearch 配置以便其他主机能够连接到它。具体方法是修改elasticsearch.yml文件中的设置。有关 Elasticsearch 配置及常用设置的更多详细信息请参阅配置 Elasticsearch和重要设置配置。node.name: es-node11获取主机的 IP 地址例如运行ifconfig。稍后会用到该地址。2使用文本编辑器例如vim打开 Elasticsearch 配置文件sudo vim /etc/elasticsearch/elasticsearch.yml3在多节点 Elasticsearch 集群中所有 Elasticsearch 节点必须使用相同的集群名称。在配置文件中取消#cluster.name: my-application这一行的注释并为 Elasticsearch 集群指定你喜欢的名称cluster.name: elasticsearch-demo4可选为此节点设置名称。如果不设置Elasticsearch 默认使用主机名。在配置文件中取消#node.name: node-1这一行的注释并为 Elasticsearch 节点指定你喜欢的名称node.name: es-node1重要如果修改了第一个 Elasticsearch 节点的node.name请确保cluster.initial_master_nodes设置中的对应节点名称与其一致以便集群能够完成引导初始化。5配置网络设置。取消#transport.host: 0.0.0.0这一行的注释以接受所有可用网络接口上的连接。默认情况下Elasticsearch 在localhost上监听传输流量这会阻止其他 Elasticsearch 节点加入集群。要允许节点间通信需要将传输接口绑定到非回环地址transport.host: 0.0.0.0 # 1如果希望 Elasticsearch 仅监听某个特定接口请将此设置的值改为主机的 IP 地址。确保已配置http.host。自动设置过程应该已将 Elasticsearch 配置为在所有网络接口上监听 HTTP 流量。检查配置文件中是否存在此设置。如果不存在请添加http.host: 0.0.0.0 # 1如果希望 Elasticsearch 仅监听某个特定接口请将此设置的值改为主机的 IP 地址。提示除了分别设置transport.host和http.host你也可以使用network.host同时配置这两个接口。有关详细信息请参阅 Elasticsearch 网络设置文档。6保存更改并关闭编辑器。重要将 Elasticsearch 配置为使用非回环地址后它会强制执行引导检查。如果 Elasticsearch 在下一步中未能成功启动请查阅重要系统配置文档。第 3 步启动 Elasticsearch 并引导初始化集群sudo systemctl start elasticsearch.service如有需要可以运行sudo systemctl stop elasticsearch.service停止该服务。提示如果 Elasticsearch 未能成功启动请检查位于/var/log/elasticsearch/cluster-name.log的 Elasticsearch 日志文件以了解详细信息。例如如果集群名称为elasticsearch-demo则日志文件为/var/log/elasticsearch/elasticsearch-demo.log。确认 Elasticsearch 正常运行sudo curl --cacert /etc/elasticsearch/certs/http_ca.crt -u elastic:$ELASTIC_PASSWORD https://localhost:9200在命令中将 $ELASTIC_PASSWORD 替换为你从安装命令输出中复制的elastic超级用户密码。如果一切正常该命令将返回类似以下内容的响应{ name : es-node1, cluster_name : elasticsearch-demo, cluster_uuid : cluster-uuid, version : { number : 9.5.5, build_flavor : default, build_type : rpm, ... }, tagline : You Know, for Search }6最后检查 Elasticsearch 的状态sudo systemctl status elasticsearch与前面的curl命令一样输出应确认 Elasticsearch 已成功启动。按q退出status命令的结果界面。第 4 步设置第二个 Elasticsearch 节点要设置第二个 Elasticsearch 节点首先安装 Elasticsearch RPM 软件包然后采用不同的配置流程使该节点加入现有集群而不是创建新集群。有关更多详细信息请参阅重新配置节点以加入现有集群。1登录你计划设置第二个 Elasticsearch 节点的主机。2为安装包创建一个工作目录mkdir elastic-install-files3进入新建的目录cd elastic-install-files4下载 Elasticsearch RPM 软件包及校验和文件curl -L -O https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-9.5.5-x86_64.rpm curl -L -O https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-9.5.5-x86_64.rpm.sha5125检查下载的 RPM 软件包的 SHA 哈希值sha512sum -c elasticsearch-9.5.5-x86_64.rpm.sha5126可选导入用于验证 RPM 软件包签名的 Elasticsearch GPG 密钥sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch7运行 Elasticsearch 安装命令sudo rpm --install elasticsearch-9.5.5-x86_64.rpm与设置第一个 Elasticsearch 节点不同此处无须复制安装命令的输出。默认情况下安装过程会将该节点配置为单节点集群但在后续步骤中elasticsearch-reconfigure-node工具会更新此配置使节点能够加入现有集群。8将 Elasticsearch 配置为服务运行sudo systemctl daemon-reload sudo systemctl enable elasticsearch.service重要暂时不要启动 Elasticsearch 服务。请先完成其余配置步骤。9要使新的 Elasticsearch 节点能够连接到集群需要在已属于该集群的任意节点上创建注册令牌。返回第一个 Elasticsearch 节点的终端生成节点注册令牌sudo /usr/share/elasticsearch/bin/elasticsearch-create-enrollment-token -s node10从命令输出中复制生成的注册令牌。提示注册令牌的有效期为 30 分钟。如果elasticsearch-reconfigure-node命令返回Invalid enrollment token注册令牌无效错误请尝试生成新令牌。请勿混淆 Elasticsearch 注册令牌与 Kibana 注册令牌。前者用于将 Elasticsearch 节点注册到现有集群后者用于将 Kibana 实例注册到 Elasticsearch下一节将对此进行介绍。这两种令牌不能互换使用。11在第二个 Elasticsearch 节点的终端中将注册令牌作为参数传递给elasticsearch-reconfigure-node工具sudo /usr/share/elasticsearch/bin/elasticsearch-reconfigure-node --enrollment-token enrollment-token将enrollment-token替换为上一步复制的令牌。注意如果elasticsearch-reconfigure-node执行失败并提示节点已经启动或初始化请参阅“跳过安全自动配置的情况”了解可能的原因。例如如果此前启动过 Elasticsearch就会创建数据目录从而阻止自动配置过程再次运行。12当出现Do you want to continue with the reconfiguration process是否继续重新配置过程提示时输入y确认。新的 Elasticsearch 节点将完成重新配置。13获取主机的 IP 地址例如运行ifconfig。稍后会用到该地址。14使用文本编辑器打开新 Elasticsearch 节点的配置文件sudo vim /etc/elasticsearch/elasticsearch.yml运行elasticsearch-reconfigure-node工具后部分设置已更新。例如transport.host: 0.0.0.0和http.host: 0.0.0.0设置已取消注释。discovery_seed.hosts设置中包含第一个 Elasticsearch 节点的主机 IP 地址。随着新 Elasticsearch 节点逐一加入集群discovery_seed.hosts设置会包含一个数组列出用于连接此前已加入集群的各个 Elasticsearch 节点的 IP 地址和端口号。15在配置文件中取消#cluster.name: my-application这一行的注释并将其设置为与第一个 Elasticsearch 节点上指定的集群名称一致cluster.name: elasticsearch-demo16可选为此节点设置名称。如果不设置Elasticsearch 默认使用主机名。在配置文件中取消#node.name: node-1这一行的注释并为 Elasticsearch 节点指定你喜欢的名称node.name: es-node217可选检查网络设置。运行elasticsearch-reconfigure-node后Elasticsearch 已配置为使用非回环地址处理传输流量和 HTTP 流量因此通常无须修改。你可以在配置文件中确认以下设置transport.host: 0.0.0.0 http.host: 0.0.0.0注意如果修改网络设置请确保所有节点的网络配置保持一致。例如所有节点应采用相同的绑定方式指定 IP 地址或0.0.0.0并使用相同的设置项transport.host、http.host或network.host。有关详细信息请参阅 Elasticsearch 网络设置文档。18保存更改并关闭编辑器。19在第二个节点上启动 Elasticsearchsudo systemctl start elasticsearch.service提示如果 Elasticsearch 未能成功启动请检查位于/var/log/elasticsearch/cluster-name.log的 Elasticsearch 日志文件以了解详细信息。例如如果集群名称为elasticsearch-demo则日志文件为/var/log/elasticsearch/elasticsearch-demo.log。20可选要监控第二个 Elasticsearch 节点的启动和加入集群过程请打开一个连接到该节点的新终端并实时查看 Elasticsearch 日志文件sudo tail -f /var/log/elasticsearch/elasticsearch-demo.log如有需要请将elasticsearch-demo替换为你的集群名称。在节点初始化、启动传输服务并等待加入集群时日志输出中应出现类似以下内容的条目[es-node2] Security is enabled [es-node2] Profiling is enabled [es-node2] using discovery type [multi-node] and seed hosts providers [settings] [es-node2] initialized [es-node2] starting ... [es-node2] publish_address {node-ip:9300}, bound_addresses {[::]:9300} [es-node2] master not discovered or elected yet ...大约一分钟后日志中应出现类似以下内容的消息[es-node2] master node changed {previous [], current [es-node1...]}这里es-node2是正在启动的 Elasticsearch 节点es-node1表示被选举为主节点的节点。随后不久你还应看到[es-node2] started {es-node2}...这些消息表明第二个 Elasticsearch 节点已成功初始化发现了已选出的主节点并加入了集群。21最后验证新节点是否可访问、能否正常响应以及是否已出现在集群中。在以下命令中将 $ELASTIC_PASSWORD 替换为你在第一个 Elasticsearch 节点上使用的同一个elastic超级用户密码。要确认新节点上的 Elasticsearch 正常运行请执行sudo curl --cacert /etc/elasticsearch/certs/http_ca.crt -u elastic:$ELASTIC_PASSWORD https://localhost:9200如需更全面地检查请将localhost替换为新节点的 IP 地址以验证是否能够通过网络访问该节点。响应示例{ name : es-node2, cluster_name : elasticsearch-demo, cluster_uuid : cluster-uuid, version : { number : 9.5.5, build_flavor : default, build_type : rpm, ... }, tagline : You Know, for Search }要确认节点已加入集群请在任意 Elasticsearch 节点上运行以下命令sudo curl --cacert /etc/elasticsearch/certs/http_ca.crt -u elastic:$ELASTIC_PASSWORD https://localhost:9200/_cat/nodes?v你可以将localhost替换为任意节点的 IP 地址。输出应包含新节点以及集群中已有的节点例如203.0.113.22 46 97 18 0.21 0.23 0.10 cdfhilmrstw - es-node2 203.0.113.21 31 96 1 0.04 0.03 0.01 cdfhilmrstw * es-node1第 5 步设置更多 Elasticsearch 节点要设置更多 Elasticsearch 节点请对每个要加入集群的新节点重复第 4 步设置第二个 Elasticsearch 节点中的操作。作为推荐的最佳实践应为每个新节点创建一个新的注册令牌。对于生产工作负载应至少运行三个 Elasticsearch 节点以便集群能够容忍任意单个节点故障。有关指导请参阅小型集群的弹性。第 6 步统一整理 Elasticsearch 配置将所有 Elasticsearch 节点加入集群后需要统一整理所有节点上的elasticsearch.yml配置以便它们今后能够顺利重启并重新加入集群。1在每个 Elasticsearch 节点上使用文本编辑器打开/etc/elasticsearch/elasticsearch.yml。2如果仍存在cluster.initial_master_nodes设置请将其注释掉或删除。此设置仅在引导初始化新集群时需要。3更新discovery.seed_hosts使其包含集群中每个具备主节点资格的 Elasticsearch 节点的 IP 地址和传输端口。在集群的第一个节点上需要手动添加discovery.seed_hosts设置。例如如果集群包含三个节点discovery.seed_hosts: - 203.0.113.21:9300 - 203.0.113.22:9300 - 203.0.113.23:9300注意如果未配置节点角色则每个节点的discovery.seed_hosts列表都应包含所有 Elasticsearch 节点。4保存每个节点上的更改。5可选重启每个节点上的 Elasticsearch 服务以验证更新后的配置。如果不执行这些步骤一个或多个节点可能会在重启时无法通过发现配置引导检查。有关更多信息请参阅更新配置文件和发现与集群形成。第 7 步安装 Kibana与 Elasticsearch 一样你可以使用 RPM 在另一台主机上安装 Kibana。有关以下所有步骤的详细说明请参阅使用 RPM 安装 Kibana。注意有关其他受支持安装方式的操作步骤请参阅安装 Kibana。安装 Kibana 软件包1登录你计划安装 Kibana 的主机并为安装包创建一个工作目录mkdir kibana-install-files2进入新建的目录cd kibana-install-files3从 Elastic 网站下载 Kibana RPM 软件包及校验和文件curl -L -O https://artifacts.elastic.co/downloads/kibana/kibana-9.5.5-x86_64.rpm curl -L -O https://artifacts.elastic.co/downloads/kibana/kibana-9.5.5-x86_64.rpm.sha5124将下载的 RPM 软件包的 SHA 哈希值与发布的校验和进行比对以验证软件包的完整性sha512sum -c kibana-9.5.5-x86_64.rpm.sha512该命令应返回以下结果kibana-9.5.5-x86_64.rpm: OK5可选导入用于验证 RPM 软件包签名的 Elasticsearch GPG 密钥sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearchKibana 和 Elasticsearch RPM 软件包使用同一个 GPG 密钥进行签名。6运行 Kibana 安装命令sudo rpm --install kibana-9.5.5-x86_64.rpm7运行以下两条命令使 Kibana 能够通过systemd作为服务运行并在主机系统重启时自动启动sudo systemctl daemon-reload sudo systemctl enable kibana.service配置 Kibana启动 Kibana 服务之前请在kibana.yml中更新以下设置网络绑定地址使 Kibana 监听其主机的 IP 地址。Fleet 等功能所需的已保存对象加密密钥。有关 Kibana 配置的更多详细信息请参阅配置 Kibana。1获取 Kibana 主机的 IP 地址例如运行ifconfig并将其记录下来。2在 Kibana 主机上生成已保存对象加密密钥sudo /usr/share/kibana/bin/kibana-encryption-keys generate命令输出包含多个与加密相关的设置。在本教程中只需复制 Fleet 功能所需的xpack.encryptedSavedObjects.encryptionKey的值。暂时可以忽略其他生成的密钥。3打开 Kibana 配置文件进行编辑sudo vim /etc/kibana/kibana.yml4取消#server.host: localhost这一行的注释并将默认地址替换为你复制的主机 IP 地址。例如server.host: 203.0.113.31如果希望 Kibana 监听所有可用网络接口可以改用0.0.0.0。5添加xpack.encryptedSavedObjects.encryptionKey设置其值使用kibana-encryption-keys generate命令返回的密钥xpack.encryptedSavedObjects.encryptionKey: min-32-byte-long-strong-encryption-key请将示例值替换为实际密钥。重要在生产环境中请考虑将此设置存储在 Kibana 密钥库中而不是kibana.yml中。有关指导请参阅 Kibana 安全设置。加密密钥轮换应仅作为有计划的流程的一部分进行以帮助确保现有的加密已保存对象仍然可读。有关轮换的指导请参阅加密密钥轮换。6保存更改并关闭编辑器。现在Kibana 已准备就绪可以启动并注册到 Elasticsearch 集群。启动并注册 Kibana在本节中你将首次启动 Kibana并完成向 Elasticsearch 集群的注册。首次启动时系统会提供验证码和注册提示并自动应用所需的连接设置完成 Kibana 配置。1启动 Kibana 服务sudo systemctl start kibana.service如有需要可以运行sudo systemctl stop kibana.service停止该服务。2运行status命令查看 Kibana 服务的详细信息sudo systemctl status kibana3status命令的输出中会显示一个 URL其中包含例如Kibana has not been configured. Go to http://203.0.113.31:5601/?codecode to get started.如果 URL 中显示的是0.0.0.0请在下一步连接 Kibana 时使用主机的 IP 地址。记下该验证码。用于访问 Kibana 的主机地址一个六位数验证码4打开浏览器访问 Kibana 主机的外部 IP 地址例如http://203.0.113.31:5601。Kibana 启动可能需要一两分钟。如果没有立即看到提示请刷新页面。注意本教程使用的自动设置流程不会为通过浏览器访问 Kibana 配置 TLS 证书但强烈建议在生产环境中进行此配置。要为 Kibana 配置 HTTPS请参阅加密浏览器与 Kibana 之间的流量。为自行管理的 Elastic Stack 自定义 TLS 证书教程也涵盖了此配置。5Kibana 启动后会提示你输入注册令牌。你必须在 Elasticsearch 中生成此令牌返回第一个 Elasticsearch 节点的终端会话。运行带有-s kibana选项的elasticsearch-create-enrollment-token命令生成 Kibana 注册令牌sudo /usr/share/elasticsearch/bin/elasticsearch-create-enrollment-token -s kibana从命令输出中复制生成的注册令牌并将其粘贴到浏览器中的注册提示框内。6点击Configure Elastic配置 Elastic。7如果系统提示输入验证码请复制并粘贴status命令返回的六位数验证码然后等待设置完成。8出现Welcome to Elastic欢迎使用 Elastic页面后使用elastic超级用户账户以及安装第一个 Elasticsearch 节点时生成的密码登录。9点击Log in登录。现在Kibana 已完成全部设置并已与 Elasticsearch 集群建立通信。第 8 步安装 Fleet Server现在 Kibana 已启动并正常运行你可以安装 Fleet Server。Fleet Server 将 Elastic Agent 实例连接到 Fleet并作为控制平面负责更新 Agent 策略和收集 Agent 状态信息。注意本教程采用 **Quick Start快速入门**安装流程默认会为 Fleet Server 生成自签名证书。有关 **Quick Start快速入门**和 **Advanced高级**设置选项的更多详细信息请参阅部署本地和自行管理的 Fleet Server。如果希望使用自定义 SSL/TLS 证书请转而按照为自行管理的 Elastic Stack 自定义 TLS 证书教程操作无须继续执行以下步骤。继续之前请确认满足以下前提条件如果未使用内置的elastic超级用户请确保你的 Kibana 用户拥有Fleet和Integrations集成**的All全部权限。Elastic Agent 主机能够通过网络直接连接到 Fleet Server 和 Elasticsearch 集群。Kibana 主机能够通过端口443连接到https://epr.elastic.co以下载集成软件包。1登录你计划设置 Fleet Server 的主机。2为安装包创建一个工作目录mkdir fleet-install-files3进入新建的目录cd fleet-install-files4获取 Fleet Server 主机的 IP 地址例如运行ifconfig。稍后会用到该地址。5返回浏览器。打开 Kibana 菜单进入Management → Fleet管理 → Fleet。Fleet 页面会提示你需要添加 Fleet Server。6点击Add Fleet Server添加 Fleet Server打开Add a Fleet Server添加 Fleet Server侧边面板。7在侧边面板中选择Quick Start快速入门选项卡。8为 Fleet Server 主机指定名称例如Fleet Server。9指定 Elastic Agent 连接 Fleet Server 时需要使用的主机 URL例如https://203.0.113.41:8220。其中的 IP 地址就是你之前记录的 Fleet Server 主机 IP 地址。请务必包含端口号。8220是 Fleet Server 在本地部署环境中使用的默认端口。有关端口分配列表请参阅本地 Fleet Server 安装文档中的默认端口分配。10点击Generate Fleet Server policy生成 Fleet Server 策略。系统将创建一个策略其中包含该 Fleet Server 实例的全部配置设置。11在nstall Fleet Server to a centralized host将 Fleet Server 安装到集中式主机步骤中本示例选择Linux选项卡。请务必选择与你的操作系统和架构例如aarch64或x64均匹配的选项卡。建议使用 TAR/ZIP 软件包而非 RPM/DEB 系统软件包因为只有前者支持通过 Fleet 升级 Fleet Server。12复制生成的命令然后在 Fleet Server 主机的终端中逐条运行。这些命令会执行以下操作如需了解安装命令的选项请参阅 Elastic Agent 命令参考中的 elastic-agent install。从 Elastic 制品仓库下载 Fleet Server 软件包解压软件包归档文件进入包含安装二进制文件的目录安装 Fleet Server13出现提示时输入Y安装 Elastic Agent 并将其作为服务运行。等待安装完成。14在 Kibana 的 **Add a Fleet Server添加 Fleet Server**侧边面板中等待系统确认 Fleet Server 已连接。15暂时忽略 **Continue enrolling Elastic Agent继续注册 Elastic Agent**选项并关闭侧边面板。现在Fleet Server 已完成全部设置。第 9 步安装 Elastic Agent接下来在另一台主机上安装 Elastic Agent并使用 System 集成监控系统日志和指标。注意每台主机只能安装一个 Elastic Agent。1登录你计划设置 Elastic Agent 的主机。2为安装包创建一个工作目录mkdir agent-install-files3进入新建的目录cd agent-install-files4打开 Kibana进入Management → Fleet管理 → Fleet。5在Agents选项卡中你应该能看到新的 Fleet Server 策略正在运行且状态为健康。6打开Settings设置选项卡检查Fleet Server hostsFleet Server 主机和Outputs输出中的 URL。确保这些 URL 和 IP 地址能够用于访问 Fleet Server 和 Elasticsearch 集群并且使用 HTTPS 协议。7返回Agents选项卡选择Add agent添加 Agent打开Add agent添加 Agent*侧边面板。8在侧边面板中指定策略名称例如Demo Agent Policy。9保持 Collect system logs and metrics采集系统日志和指标选项启用。这会将 System 集成添加到 Elastic Agent 策略中。10点击Create policy创建策略。11在 Enroll in Fleet?是否注册到 Fleet步骤中保持选中Enroll in Fleet注册到 Fleet。12在 Install Elastic Agent on your host在主机上安装 Elastic Agent步骤中本示例选择Linux选项卡。请务必选择与你的操作系统和架构例如aarch64或x64均匹配的选项卡。与 Fleet Server 一样建议使用 TAR/ZIP 软件包而非 RPM/DEB 系统软件包因为只有前者支持通过 Fleet 升级 Elastic Agent。13将生成的命令复制到文本编辑器中。暂时不要运行因为下一步需要修改其中一条命令。14对sudo ./elastic-agent install命令进行两处修改本教程需要使用--insecure标志以允许连接到使用自签名证书的 Fleet Server 端点。有关指导请参阅安装由 Fleet 管理的 Elastic Agent。提示如果希望使用自定义 SSL 证书建立安全通信请参阅为自行管理的 Elastic Stack 自定义 TLS 证书。修改后的命令应类似如下sudo ./elastic-agent install --urlhttps://203.0.113.41:8220 --enrollment-tokenVWCobFhKd0JuUnppVYQxX0VKV5E6UmU3BGk0ck9RM2HzbWEmcS4Bc1YUUM --insecure检查--url参数中的端口号确保其为8220用于本地部署的 Fleet Server。在命令末尾添加--insecure标志。15在 Elastic Agent 主机的终端中逐条运行这些命令。它们会执行以下操作从 Elastic 制品仓库下载 Elastic Agent 软件包。解压软件包归档文件。进入包含安装二进制文件的目录。安装 Elastic Agent。16出现提示时输入Y安装 Elastic Agent 并将其作为服务运行。等待安装完成Elastic Agent has been successfully installed.17在 Kibana 的 Add agent添加 Agent侧边面板中等待系统确认 Elastic Agent 已连接。18关闭侧边面板。现在新的 Elastic Agent 已安装完成并已注册到 Fleet Server。第 10 步查看系统数据现在所有组件均已安装完成你可以通过多种方式查看数据。Elastic Observability 提供用于探索主机活动的解决方案视图各个集成也可以提供专用的仪表板和可视化。本教程将先查看 Observability 中的主机视图再打开 System 集成提供的日志和指标示例仪表板。将 System 集成添加到 Elastic Agent 策略时其相关资源包括仪表板会自动安装。在 Observability 中查看主机数据打开 Kibana 菜单进入Observability → Infrastructure → Hosts可观测性 → 基础设施 → 主机。确认你的主机已显示在列表中并且正在上报数据。查看系统日志数据打开 Kibana 菜单进入Analytics → Dashboard分析 → 仪表板。在查询框中搜索Logs System。选择[Logs System] Syslog dashboard链接。Kibana 仪表板随即打开展示 Syslog 事件、主机名、进程等信息的可视化。查看系统指标数据打开 Kibana 菜单返回Analytics → Dashboard分析 → 仪表板。在查询框中搜索Metrics System。选择[Metrics System] Host overview链接。Kibana 仪表板随即打开展示 CPU 使用率、内存使用率、运行中的进程等主机指标的可视化。你已成功搭建一个包含三个节点的 Elasticsearch 集群并部署了 Kibana、Fleet Server 和 Elastic Agent。后续步骤现在你已成功配置本地部署的 Elastic Stack接下来可以了解如何在生产环境中使用受信任 CA 签发的证书自定义 Elastic Stack 的证书配置。有关详细信息请参阅为自行管理的 Elastic Stack 自定义 TLS 证书。你也可以立即开始使用刚刚搭建好的 Elastic Stack已有准备好摄取的数据了解如何将数据导入 Elastic。使用 Elastic Observability 统一管理日志、基础设施指标、可用性和应用性能数据。希望保护端点免受安全威胁试试 Elastic Security。只需向 Agent 策略再添加一项集成即可启用端点保护
阅读完成 · 觉得有帮助？
