Logstash. Как обработать логи и не только

1. Logstash. Как обработать
логи и не только
Коваль Антон

2. Что такое logstash
Инструмент для потоковой обработки событий
в реальном времени.
Написан на JRuby.

3. Почему logstash?
● большое количество плагинов
● простота
● не cloud
● бесплатный

4. Альтернативы
★ loggly
★ graylog
★ splunk
★ logscale

5. Как работает

6. После INPUT

7. После FILTER

8. Простейшее приложение
★ установленный logstash
★ конфиг файл

9. Пример конфига

10. Чуть посложнее приложение
★ установленный logstash
★ конфиг файл
★ свой плагин

11. Пишем свой плагин
Легко писать расширения, но …..

12. Пишем свой плагин
Легко писать расширения, но …..
JRUBY

13. Пишем свой плагин

14. Пишем свой плагин
Input: register, run, teardown
Filter: register, filter
Output: register, receive, teardown

15. Сложное приложение
★ установленный logstash
★ конфиг файл
★ свой плагин
★ java бибилиотеки

16. Java dependencies
Включение jar зависимостей:
● environment.rb (ручная загрузка jar файлов)

17. Java dependencies
Включение jar зависимостей:
★ environment.rb (ручная загрузка jar файлов)
★ classpath (пришлось править logstash.sh)

18. Используем Java классы
java_import net.thumbtack.MyClass

19. Отказоустойчивость
20 20

20. Отказоустойчивость
40 событий может быть потеряно
20 20

21. Масштабируемость
Input: каждый источник работает в отдельном
потоке.
Filter: модель worker-ов.
Output: модель worker-ов.

22. Best practice (error handling)
Все ошибки складывать в одно поле.

23. Best practice (logging)
★ в модулях у каждого свой логгинг
★ нельзя поменять формат
★ в сложных конфигах сложно следить за
процессом

24. Best practice (logging)
Свой custom logging

25. Мониторинг

26. Мониторинг

27. Мониторинг
Output:
★ ganglia
★ graphite
★ zabbix
★ nagios

28. Мониторинг

29. Healthcheck
★ активные
★ пассивные

30. Healthcheck
★ активные (input и output не связаны)
★ пассивные (метрики)

31. Тестирование (ручное)

32. Тестирование (автоматическое)
★ Руби-тест:
bin/logstash rspec
spec/core/timestamp_spec.rb
★ blackbox тестирование

33. Визуализация логов
★ elasticsearch
★ kibana

34. Визуализация логов

35. Визуализация логов

36. Что еще мы делали?
● ротация логов
● сжатие логов
● чтение писем (IMAP)
● сделали свой плагин для JMS

37. Спасибо!

38. Вопрос 1
Есть конфигурация с 2-мя output
плагинами.
Что будет, если один из них начнет
медленно посылать события?

39. Вопрос 2
Есть файл с логами. Как можно сделать
сжатие файла при помощи Logstash?