运维手册

日志中心：ELK 接入、积压与检索隔离

覆盖 Elasticsearch、Logstash、Kibana 的字段契约、缓冲巡检、查询隔离和快照恢复。

日志中心：ELK 链路运维

本图中的 ELK 拆为 Elasticsearch 存储检索、Logstash 接入处理、Kibana 查询展示。本方案覆盖应用日志，不默认包含审计日志、抓包或数据库明文查询结果。首批只接入已获准的数据源，所有步骤待目标环境授权验证。日志平台用于调查证据，不能仅凭集中存储就承诺不可篡改或零丢失。

为数据源登记责任人、路径或输入协议、轮转规则、峰值速率、单条大小和保留期限。统一事件时间、接收时间、环境、服务、实例、发布标识和关联请求标识；约定时区与多行堆栈边界。先由数据所有者批准脱敏样例，排除口令、令牌和不必要的个人信息。

确认源到 Logstash、Logstash 到 Elasticsearch 的证书信任和最小写入权限，Kibana 查询账号则独立授予读权限。Logstash 持久队列能缓冲在途事件，但本地队列不复制，机器或磁盘永久故障仍可能丢失数据；输入是否具备确认机制也影响保护范围。官方持久队列说明

先在隔离索引中导入脱敏样本，验证字段类型、时间解析、超长字段和异常字符；随后接入一个实例并标记唯一测试事件，逐段核对输入数、处理数和检索结果。记录正常延迟基线，再在批准范围内模拟后端短时不可用，观察队列上限、恢复速度和重复事件。

配置晋级前保存旧解析规则、字段模板和查询视图。若修改字段类型，优先评估新索引或数据流的迁移方案，不直接假设旧数据可以原地改类型。接入扩容以剩余磁盘和处理能力为约束，不按机器数量机械复制队列容量。

检查日志最新事件时间与平台接收时间差、各源是否仍有数据、解析失败比例、队列增长趋势、写入拒绝及磁盘水位。检索看板要显示缺口与过滤条件，不能把业务低流量等同采集故障。每次应用发布后抽查堆栈是否被拆碎、发布标识是否更新、敏感字段是否意外出现。

巡检样本保存事件标识和受控查询链接，不把原始生产日志复制到公开知识站点。检查保留任务是否符合数据分级以及快照是否覆盖必要索引；删除前先核对调查保全需求和责任人批准。

源端有事件而索引没有：先查输入连通与采集位点，再查 Logstash 过滤失败和输出重试；队列持续增长且写入被拒绝时，先处理后端容量或映射异常。索引可检索而 Kibana 空白：核对时间字段、时间范围、数据视图和用户权限，避免重建索引。

出现重复事件时比较唯一标识和重试时间，先明确允许的重复口径，不立即删除源文件或队列目录。怀疑泄密时停止相应数据源扩展并启动受控隔离与留证流程，不能以大范围清空日志作为修复。

Elasticsearch 应采用受支持的快照机制；复制节点数据目录不是可支持的集群备份方式。官方快照与恢复说明

本方案要求分别保存快照清单、仓库访问配置、解析规则、模板、Kibana 导出及密钥保管记录。恢复测试使用隔离目标，核验事件数、时间范围、字段与访问隔离；对恢复点之后的日志评估源端是否还可重放。配置回退只能恢复处理规则，不能自动补回已经丢失的事件。

以一批唯一标识事件证明正常接入、解析、授权查询、短时积压恢复和备份检索可用，分别记录遗漏、重复和最大延迟。未确定保留预算、持续出现敏感数据、源文件即将轮转而队列无法消化，或没有可验证的快照时，停止扩大接入。后续可对照日志集中管理场景补充环境证据。

实施前核对 Logstash 队列与数据弹性的默认行为及适用范围；本文未声明任何队列已经启用，也不提供未经目标环境审核的安装命令。