>[info] 架構設計分析 **方案一：** 是最簡單的一種 elk 架構方式 缺點：Logstash 運行占用CPU 和 內存較高，吃資源。  ***** **方案二：** 官方推薦：將收集端logstash替換為filebeats，更靈活，消耗資源更少，擴展性更強。同時可配置Logstash 和 Elasticsearch 集群用于支持大集群系統的運維日志數據監控和查詢。  ***** >[info] 為什么要是用filebeat？ **Filebeat 和 Logstash** elk 架構中使用Logstash收集、解析日志，但是Logstash對內存、cpu、io等資源消耗比較高。相比 Logstash， Beats所占系統的CPU和內存幾乎可以忽略不計。 ***** **Filebeat 工作原理** Filebeat是使用GO語言開發，工作原理如下：當Filebeat啟動時，它會啟動一個或者多個prospector監控日志路徑或 日志文件，每個日志文件會有一個對應的harvester，harvester按行讀取日志內容并轉發至后臺程序。Filebeat維護 一個記錄文件讀取信息的注冊文件，記錄每個harvester最后讀取位置的偏移量。  ***** **第一層、數據采集** 最左邊的是業務服務器集群，上面安裝了filebeat做日志采集，同時把采集的日志分別發送給兩個logstash服務。 **第二層、數據處理層，數據轉發層** logstash服務把接受到的日志經過格式處理，轉存到ES DataNode。 **第三層、數據持久化存儲** ES DataNode 會把收到的數據，寫磁盤，建索引庫。 **第四層、數據檢索，數據展示** ES Master + Kibana 主要協調ES集群，處理數據檢索請求，數據展示。