3. 日志平台架构概览：ELK/EFK栈组件、数据流拓扑、常见部署模式

在构建日志平台的安全权限模型之前，必须首先理解其核心组件、数据流转路径以及部署拓扑。本章以业界主流的 ELK（Elasticsearch, Logstash, Kibana）和 EFK（Elasticsearch, Fluentd/Fluent Bit, Kibana）栈为蓝本，剖析其架构要素，为后续 OPA 策略的嵌入点分析奠定基础。

3.1 核心组件与职责

无论是 ELK 还是 EFK，其核心逻辑均围绕“采集 → 传输 → 解析 → 存储 → 检索 → 可视化”展开。下表对比了两套栈中各层对应的组件及其职责：

3.2 数据流拓扑

日志数据从产生到被检索，经历了一条清晰的管道。下图展示了标准 EFK 栈的端到端数据流拓扑，其中标注了关键的安全控制点：

3.3 常见部署模式

根据企业规模、环境复杂度与合规要求，日志平台通常采用以下三种部署模式。每种模式对安全权限建模的粒度与复杂度有直接影响。

3.3.1 单机 All-in-One 模式

• 适用场景： 开发测试环境、小型团队（< 5 人）、非生产日志量 < 50GB/天。
• 架构特征： 所有组件（ES、Kibana、Logstash）部署在同一节点或同一 Pod 内。
• 安全局限： 无网络隔离，组件间共享内核命名空间；权限模型仅依赖 ES 内置用户（elastic/kibana_system）。
• OPA 策略价值： 低。通常仅用于验证策略语法，不适合生产级权限建模。

3.3.2 多节点分离部署模式

• 适用场景： 中型企业、多团队共享日志平台、日志量 50GB~5TB/天。
• 架构特征：
  • Elasticsearch 集群：3 节点以上，数据分片与副本分离。
  • Kibana 独立节点：支持 Spaces 多租户隔离。
  • Logstash/Fluentd 独立部署：可水平扩展。
  • Kafka 集群：作为缓冲层，保障数据可靠性。
• 安全需求： 索引级权限、Kibana 空间级权限、管理。
• OPA 策略价值： 高。可在此模式下实现索引创建白名单、跨空间数据隔离策略。

3.3.3 云原生 Kubernetes 模式

• 适用场景： 大规模微服务架构、多集群、动态扩缩容、日志量 > 5TB/天。
• 架构特征：
  • 采集端：DaemonSet 部署 Fluent Bit，Sidecar 模式采集应用日志。
  • 存储端：ECK Operator 管理 ES 集群，支持自动扩缩与证书轮换。
  • 可视化端：Kibana 通过 Ingress 暴露，集成 OIDC/OAuth2 认证。
  • 策略引擎：OPA 以 Admission Controller 或 Sidecar 形式嵌入。
• 安全需求： Pod 级身份认证、命名空间级日志隔离、动态策略热更新。
• OPA 策略价值： 极高。OPA 可拦截非法的日志索引创建请求、校验日志源身份标签、动态生成 ES 角色映射。

3.4 组件拓扑与安全边界总结

下表汇总了三种部署模式下各组件的安全边界特征，为后续章节的 OPA 策略设计提供上下文：