Major - 로그 관리를 위한 ELK 인프라 설정

[iijung]

이 주요 모듈의 목표는 ELK 스택(Elasticsearch, Logstash, Kibana)을 사용하여 로그 관리 및 분석을 위한 강력한 인프라를 구축하는 것입니다. 주요 기능과 목표는 다음과 같습니다.

• [x] 로그 데이터를 효율적으로 저장하고 색인화하여 쉽게 검색하고 액세스할 수 있도록 Elasticsearch를 배포합니다.
• [x] 다양한 소스에서 로그 데이터를 수집, 처리 및 변환하여 Elasticsearch로 보내도록 Logstash를 구성합니다.
• [x] 로그 데이터 시각화, 대시보드 생성, 로그 이벤트로부터 통찰력 생성을 위해 Kibana를 설정합니다.
• [x] 로그 데이터의 저장을 효과적으로 관리하기 위해 데이터 보존 및 보관 정책을 정의합니다.
  • https://www.elastic.co/guide/en/elasticsearch/reference/current/es-security-principles.html
• [x] 로그 데이터를 보호하고 ELK 스택 구성 요소에 대한 액세스를 보호하기 위한 보안 조치를 구현합니다.
  • elasticsearch
  • kibana
  • logstash

이 주요 모듈은 ELK스택을 사용하여 강력한 로그 관리 및 분석 시스템을 구축하여 효과적인 문제 해결, 모니터링 및 시스템 운영 및 성능에 대한 통찰력을 제공하는 것을 목표로 합니다.

[iijung]

참고자료

• https://docs.docker.com/samples/elasticsearch/
• https://www.elastic.co/guide/en/elastic-stack-get-started/8.2/get-started-stack-docker.html
• https://github.com/swimlane/elk-tls-docker/tree/master
• https://www.moralok.com/2023/12/14/install-ELK-using-Docker-Compose/

데이터 보존 및 보관 정책

• https://www.elastic.co/guide/en/elasticsearch/reference/current/security-settings.html
• https://www.elastic.co/guide/en/elasticsearch/reference/8.12/es-security-principles.html

[iijung]

바이너리	역할
elasticsearch	Elasticsearch 서버를 시작합니다. 기본적으로, 이 명령은 Elasticsearch 노드를 구동시키는 주 명령입니다.
elasticsearch-geoip	GeoIP 데이터베이스를 관리하는 도구입니다. Elasticsearch에서 지리적 위치 데이터를 처리할 때 사용합니다.
elasticsearch-setup-passwords	Elasticsearch 클러스터 내장 사용자의 비밀번호를 설정하거나 변경하는 데 사용됩니다.
elasticsearch-certgen	사용자 정의 SSL/TLS 인증서를 생성하는 데 사용됩니다. Elasticsearch 클러스터 간 통신이나 클라이언트와의 통신을 보안하려 할 때 유용합니다.
elasticsearch-certutil	SSL 인증서와 키를 관리하기 위한 유틸리티입니다. 인증서 사인 요청(CSR) 생성, 인증서 생성 및 인증서 체인을 관리할 때 사용됩니다.
elasticsearch-cli	일반적인 Elasticsearch 명령줄 인터페이스 도구로, 사용자 정의 작업을 위한 베이스 플랫폼을 제공합니다.
elasticsearch-create-enrollment-token	클러스터에 새 노드를 추가하기 위한 등록 토큰을 생성합니다. 이 토큰은 노드가 클러스터에 자동으로 추가되도록 돕습니다.
elasticsearch-croneval	Watcher에서 사용되는 cron 표현식을 평가하고 테스트하는 데 사용됩니다.
elasticsearch-env	Elasticsearch 실행 환경 변수를 설정합니다. 스크립트나 서비스 파일 내부에서 사용될 환경 변수를 구성할 때 사용됩니다.
elasticsearch-env-from-file	파일에서 환경 변수를 읽어와 Elasticsearch 실행 환경을 설정합니다.
elasticsearch-service-tokens	Elasticsearch 서비스 토큰을 생성하거나 관리하는 데 사용됩니다. 서비스 간 인증에 사용되는 토큰입니다.
elasticsearch-keystore	Elasticsearch 보안 설정을 관리하기 위한 키 저장소를 생성하고 수정합니다. 비밀 키나 중요 설정을 안전하게 저장합니다.
elasticsearch-node	노드 관련 작업을 수행합니다, 예를 들어 노드 정보를 조회하거나 노드 설정을 변경할 때 사용됩니다.
elasticsearch-plugin	Elasticsearch 플러그인을 설치, 제거, 업데이트 및 나열하는 데 사용됩니다.
elasticsearch-reconfigure-node	노드 구성을 다시 설정하거나 변경하는 데 사용됩니다.
elasticsearch-reset-password	내장 사용자의 비밀번호를 재설정합니다.
elasticsearch-saml-metadata	SAML 인증을 위한 메타데이터를 생성하거나 관리합니다.
elasticsearch-shard	샤드 관련 작업을 수행합니다. 예를 들어, 샤드를 다른 노드로 이동하거나 복구 작업을 수행할 때 사용됩니다.
elasticsearch-sql-cli	Elasticsearch SQL 쿼리를 실행할 수 있는 대화형 명령줄 인터페이스입니다.
elasticsearch-sql-cli-8.12.0.jar	특정 버전(여기서는 8.12.0)의 Elasticsearch SQL CLI 도구
elasticsearch-syskeygen	Elasticsearch 시스템 키를 생성하는 데 사용됩니다. 시스템 키는 클러스터 내에서 민감한 데이터를 암호화하는 데 사용되며, 예를 들어 보안 통신 채널을 설정할 때 필요할 수 있습니다.
elasticsearch-users	Elasticsearch의 파일 기반 사용자 인증을 관리하는 데 사용됩니다. 사용자를 추가, 삭제, 비밀번호 변경 등의 작업을 수행할 수 있으며, 주로 보안 설정의 일환으로 사용됩니다.

[iijung]

데이터 가공

logstash에서는 input, filter, output 플러그인을 설정하여 데이터를 수집하는데 너무 다양한 방식이 존재합니다.

• 처음에는 각 컨테이너의 *.log 파일에 대하여 볼륨을 마운트한 뒤 file stream event를 읽어오는 것을 구상하고 있었으나 각 서비스에서 로그를 저장하기 위해 각 로그 파일 위치나 로그 true 설정 등 ELK 외적으로 해야할 일이 많아서 이 방안은 폐기했습니다.
• 새롭게 생각한 방안으로는 http 또는 http_poller를 통해 각 컨테이너에서 데이터를 전달받고자 합니다.
  • http: logstash에서 http 요청을 받아서 가공하는 방식
  • http_poller: logstash에서 http 요청을 지속적으로 보내서 http 응답을 가공하는 방식

    input {
    }
    filter {
    }
    output {
    }

input

• 데이터가 어떻게 들어올지는 google, aws, twitter, github, tcp, http, log4j, ... 등 정말 다양한 방법이 존재하므로 자세한 내용은 링크 참고 바립니다.

filter

• 데이터 가공하는 방법도 여러가지이므로 input 데이터가 결정되면 추가할 예정입니다.

output

• Elasticsearch 플러그인을 사용하여 데이터를 저장할 예정이며 filter에 따른 옵션 추가가 필요할 것 같습니다.

[iijung]

https://www.elastic.co/blog/how-to-setup-tls-for-elasticsearch-kibana-logstash-filebeat-with-offline-install-in-linux

[iijung]

kibana map 오류

오류 메세지

• kibana > Analytics > Maps 에서 데이터를 추가할 때 아래와 같은 오류 발생

  Data view does not contain any geospatial fields

원인

• 가공된 데이터에서 elasticsearch의 데이터 타입인 geo_point 필드를 찾을 수 없음
• logstash에서 ip를 geoip 로 가공할 수 있는데 geo_point 타입은 지원하지 않아서 수동 매핑이 필요함

해결

• elasticsearch에 매핑을 위한 index 생성 필요 [참고]
• dda703054efcb2ebc746fd9d17a5a4e905611733 에 반영함