一、ELK知识了解
1-ELK组件
工作原理：
（1）在所有需要收集日志的服务器上部署Logstash；或者先将日志进行集中化管理在日志服务器上，在日志服务器上部署 Logstash。
（2）Logstash 收集日志，将日志格式化并输出到 Elasticsearch 群集中。
（3）Elasticsearch 对格式化后的数据进行索引和存储。
（4）Kibana 从 ES 群集中查询数据生成图表，并进行前端数据的展示。
2- ELK部署
1、环境
(1) 操作系统版本：
root@kk \~\]# cat /etc/redhat-release CentOS Linux release 7.9.2009 (Core)
(2) docker版本( docker安装 --参考-http://t.csdnimg.cn/wiQTu）
root@kk \~\]# docker -v Docker version 24.0.7, build afdd53b
(3) 本次ELK三个组件选择官网最新8.7.1版本
root@kk \~\]# systemctl start docker //启动docker //拉取镜像文件 \[root@kk \~\]# docker pull docker.elastic.co/elasticsearch/elasticsearch:8.11.1 //这是最新版本 \[root@kk \~\]# docker pull elasticsearch:8.7.1 //本文用8.7版本 # 查看镜像 docker images \[root@kk \~\]# docker images 
2.创建一个ELK容器通信专用网络
root@kk \~\]# docker network create elastic 6d32f1379cdbe03a44fafd7445aae8dcb15c79825d9ec6f2e34234abcd633f26 查看建立的信道情况：docker network ls 如下图所示：
3.创建ELK目录，方便容器启动后目录挂载
root@kk \~\]# mkdir -p /etc/{elasticsearch,kibana,logstash}
4. 拉取配置文件
启动elasticsearch
root@kk \~\]# docker run -d --name es --net elastic -P -e "discovery.type=single-node" elasticsearch:8.7.1 50d2ef8abc301f370664b137c6d6f93bf8dd72b2b7539d4509d8571a04591515 # 进入容器内 # 进入配置文件目录 \[root@kk \~\]# docker exec -it es /bin/bash elasticsearch@50d2ef8abc30:\~$ cd /usr/share/elasticsearch/config （ 容器内工作目录为/usr/share/elasticsearch/config） # 退出容器 elasticsearch@50d2ef8abc30:\~/config$ exit exit # 复制文件 \[root@kk \~\]# docker cp es:/usr/share/elasticsearch/config/elasticsearch.yml /etc/elasticsearch/config Successfully copied 2.56kB to /etc/elasticsearch/config # 修改权限 chmod -R 777 /etc/elasticsearch
5.重新启动容器并挂载目录
查看运行的容器
root@kk \~\]# docker ps -a CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES c2a3a23141dd elasticsearch:8.7.1 "/bin/tini -- /usr/l..." 9 minutes ago Up 9 minutes 0.0.0.0:32769-\>9200/tcp, :::32769-\>9200/tcp, 0.0.0.0:32768-\>9300/tcp, :::32768-\>9300/tcp es # 删除临时启动容器 vibrant_blackwell \[root@kk \~\]# docker rm -f es es # 启动容器挂载目录 **docker run -d --name es --net elastic -p 9200:9200 -p 9300:9300 -e "discovery.type=single-node" -v /etc/elasticsearch/config/elasticsearch.yml:/usr/share/elasticsearch/config/elasticsearch.yml -v /etc/elasticsearch/data/:/usr/share/elasticsearch/data -v /etc/elasticsearch/plugins/:/usr/share/elasticsearch/plugins --privileged=true elasticsearch:8.7.1** \[root@kk \~\]# docker run -d elasticsearch:8.7.1 e48d06b30424b9d345431152cc69d0870fcbf2e0cbe60f48e3a3e9b51684788e # 若无加载的容器，那么需要重启docker sudo systemctl restart docker # 查看容器状态 docker ps # 查看容器日志状态 docker logs -f es 总算启动成功。
插曲：
期间出现下面问题，删除容器docker 重装不成功，之后把容器删除，重新挂载，后再次启动容器反复尝试。
docker: Error response from daemon: failed to create task for container: failed to create shim task: OCI runtime create failed: runc create failed: unable to start container process: error during container init: error mounting "/etc/elasticsearch/config/elasticsearch.yml" to rootfs at "/usr/share/elasticsearch/config/elasticsearch.yml": stat /etc/elasticsearch/config/elasticsearch.yml: not a directory: unknown: Are you trying to mount a directory onto a file (or vice-versa)? Check if the specified host path exists and is the expected type.查询解决方案：
这个错误通常是由于容器无法启动导致的。错误信息中提到了一个文件路径的问题，可能是由于文件路径不存在或者文件类型不匹配导致的。建议您检查一下容器的配置文件，确保文件路径正确，并且文件类型与容器内部的文件类型匹配。如果文件路径正确，但是文件类型不匹配，您可以尝试将文件复制到容器内部，并将其类型更改为正确的类型。如果问题仍然存在，您可以尝试重新安装Docker或者更新Docker版本，以确保Docker的正常运行。
没办法，只能重新安装下docker 版本再从头来。
6.验证elasticsearch是否正常启动
curl 172.20.193.85:9200
