日志系统怎么搭建？ELK与Loki及Splunk咋选不串监控告警？

2026-08-28 17:21:59 美孚教育网

日志系统是IT基础设施的“黑匣子”，负责采集、传输、存储、检索、分析应用与系统运行时产生的文本记录，核心价值是故障排查、安全审计、业务追踪。它和监控系统(Metrics)是两条平行线——监控看“系统是否健康”，日志看“为什么出问题”，别把两者焊死在同一个工具上。

🧱 通用架构四层

采集层：Agent部署在业务机，Filebeat/Flume/Logstash Shipper 实时 tail 日志文件，过滤无用行、加标签(主机/IP/应用名);

传输层：Kafka/Redis 做缓冲队列，扛住日志洪峰，防止后端存储被打垮;

存储层：Elasticsearch(倒排索引全文检索)、Loki(轻量标签索引，对象存储存压缩块)、HDFS(冷数据归档);

展示层：Kibana/Grafana 查日志、画面板、设告警，或接 SIEM 做安全关联。

🔧 主流方案三选一

ELK Stack(Elasticsearch+Logstash+Kibana+Filebeat)：功能最全，全文检索强，生态成熟，但 ES 吃内存(堆内存建议 16G+)，运维重;

Grafana Loki：设计哲学“像 Prometheus 管日志”，只索引标签不索引全文，存储成本极低，查询走 LogQL，适合 Kubernetes 环境，和 Prometheus/Grafana 天然一体;

Splunk：商业闭源，开箱即用，搜索语言 SPL 强大，但按日志量授权贵到离谱，中小企业用不起，开源替代用 ELK/Loki 平替。

⚠️ 避坑铁律

别把“打日志”当“日志系统”——应用里 print() 或 console.log 只是产生日志，没有采集存储检索就不算系统;ES 集群别裸奔公网，曾爆出未授权访问导致数据泄露;日志量评估按“日均 GB×保留天数”算存储，别按业务数据量估;敏感日志(密码/手机号)采集前脱敏，合规要求 GDPR/等保;Loki 不适合全文模糊搜索场景，要全文检索还是得 ES。