單索引或多索引

Question

我的環境架構是我有 15 個服務器。 詳情如下

第 1 組（獨立）

• 服務器 1（2 個應用程序）
• 服務器 2 3 應用程序）
• 服務器 3（2 個應用程序）
• 服務器 4（3 個應用程序）

第 2 組（主從）

• 服務器 5 主機（2 個應用程序）
• 服務器 6 從站（2 個應用程序）

第 3 組（主機和 2 個從機）

• 服務器 7 主機（3 個應用程序）
• 服務器 8 從站（3 個應用程序）
• 服務器 9 從站（3 個應用程序）

第 4 組（1 主 5 從）

• 服務器 10 主控（1 個應用程序）
• 服務器 11 從站（1 個應用程序）
• 服務器 12 從站（1 個應用程序）
• 服務器 13 從站（1 個應用程序）
• 服務器 14 從站（1 個應用程序）
• 服務器 15 從站（1 個應用程序）

每個應用程序有 15 -20 條日志

在 logstash 中創建索引的最佳方法是什么？

索引模式 app_name-log_name-YYMMDD 以下更好

稍后我想在 Kibana 中以下面的表格面板形式可視化，其中包括時間、基於各自日志名稱的消息

以下是單個日志的數據。 其他日志具有相似的模式但數據不同。 我只想顯示單個日志顯示單個表

Answer 1

https://www.elastic.co/guide/en/logstash/current/plugins-outputs-elasticsearch.html#_writing_to_different_indices_best_practices有一個關於創建自定義索引名稱的良好起點。 一般來說，我會考慮將具有相似生命周期（例如將數據保留 30 天）和相似結構（大部分相同字段）的索引合並到一個索引中。 只要您有一個應用程序字段，您就可以對其進行過濾，它也能正常工作。

此外，我強烈建議使用 ILM來獲取大小均勻的索引，而不是使用每日索引模式。