单索引或多索引

Question

我的环境架构是我有 15 个服务器。 详情如下

第 1 组（独立）

• 服务器 1（2 个应用程序）
• 服务器 2 3 应用程序）
• 服务器 3（2 个应用程序）
• 服务器 4（3 个应用程序）

第 2 组（主从）

• 服务器 5 主机（2 个应用程序）
• 服务器 6 从站（2 个应用程序）

第 3 组（主机和 2 个从机）

• 服务器 7 主机（3 个应用程序）
• 服务器 8 从站（3 个应用程序）
• 服务器 9 从站（3 个应用程序）

第 4 组（1 主 5 从）

• 服务器 10 主控（1 个应用程序）
• 服务器 11 从站（1 个应用程序）
• 服务器 12 从站（1 个应用程序）
• 服务器 13 从站（1 个应用程序）
• 服务器 14 从站（1 个应用程序）
• 服务器 15 从站（1 个应用程序）

每个应用程序有 15 -20 条日志

在 logstash 中创建索引的最佳方法是什么？

索引模式 app_name-log_name-YYMMDD 以下更好

稍后我想在 Kibana 中以下面的表格面板形式可视化，其中包括时间、基于各自日志名称的消息

以下是单个日志的数据。 其他日志具有相似的模式但数据不同。 我只想显示单个日志显示单个表

Answer 1

https://www.elastic.co/guide/en/logstash/current/plugins-outputs-elasticsearch.html#_writing_to_different_indices_best_practices有一个关于创建自定义索引名称的良好起点。 一般来说，我会考虑将具有相似生命周期（例如将数据保留 30 天）和相似结构（大部分相同字段）的索引合并到一个索引中。 只要您有一个应用程序字段，您就可以对其进行过滤，它也能正常工作。

此外，我强烈建议使用 ILM来获取大小均匀的索引，而不是使用每日索引模式。