4. 日志存储系统：Elasticsearch集群搭建、索引生命周期管理、日志数据分片与副本策略

在日志分析体系中，Elasticsearch（ES）承担着海量日志数据的存储、检索与聚合分析职责。一个高可用的ES集群是故障定位的基础设施保障。本章将围绕集群搭建、索引生命周期管理（ILM）以及分片与副本策略展开，确保日志系统既能承载高吞吐写入，又能实现低成本长期留存。

4.1 Elasticsearch集群搭建核心要点

生产环境建议采用多节点、多角色的部署架构，将Master节点、Data节点与Ingest节点分离，避免脑裂与资源争抢。

4.1.1 集群搭建步骤（以7.x/8.x版本为例）

1. 系统调优：修改 /etc/security/limits.conf，增大文件句柄数（nofile 65535）与线程数（nproc 4096）。
2. 安装JDK：ES 7.x+ 内置JDK，但建议使用官方捆绑包。
3. 配置 elasticsearch.yml：设置 cluster.name、node.name、network.host、discovery.seed_hosts、cluster.initial_master_nodes。
4. 启动集群：逐台启动，观察日志确认节点加入。
5. 验证健康状态：GET /_cluster/health 返回 green 表示集群正常。

cluster.name: log-cluster
node.name: node-1
node.roles: [ master, data, ingest ]
path.data: /data/elasticsearch
path.logs: /var/log/elasticsearch
network.host: 0.0.0.0
http.port: 9200
discovery.seed_hosts: ["192.168.1.10", "192.168.1.11", "192.168.1.12"]
cluster.initial_master_nodes: ["node-1", "node-2", "node-3"]
bootstrap.memory_lock: true

4.1.2 集群健康状态与故障场景

4.2 索引生命周期管理（ILM）

日志数据具有明显的时效性：近期日志需要高频写入与快速检索，历史日志则需压缩存储或删除。ILM 策略通过定义索引的阶段（Phase）与动作（Action），自动管理索引从创建到删除的全过程。

4.2.1 ILM 四阶段模型

4.2.2 ILM 策略配置示例

以下策略针对日志索引 logstash-*，实现：写入30天后转为 Warm 阶段（降低副本数），60天后转为 Cold 阶段（压缩），90天后自动删除。

PUT _ilm/policy/log_retention_policy
{
  "policy": {
    "phases": {
      "hot": {
        "min_age": "0ms",
        "actions": {
          "rollover": {
            "max_size": "50GB",
            "max_age": "1d"
          },
          "set_priority": {
            "priority": 100
          }
        }
      },
      "warm": {
        "min_age": "30d",
        "actions": {
          "shrink": {
            "number_of_shards": 1
          },
          "forcemerge": {
            "max_num_segments": 1
          },
          "set_priority": {
            "priority": 50
          }
        }
      },
      "cold": {
        "min_age": "60d",
        "actions": {
          "freeze": {},
          "set_priority": {
            "priority": 0
          }
        }
      },
      "delete": {
        "min_age": "90d",
        "actions": {
          "delete": {}
        }
      }
    }
  }
}

4.3 日志数据分片与副本策略

分片（Shard）是 ES 数据分布的最小单元，副本（Replica）是分片的冗余拷贝。合理的分片与副本策略直接影响写入吞吐、查询性能与数据可靠性。

4.3.1 分片策略设计原则

4.3.2 分片分配与路由

ES 通过 分片分配感知（Shard Allocation Awareness） 将分片分布到不同机架或可用区，避免单点故障。日志场景下，建议按 时间 或 业务线 设计索引模板，确保同一时间段的日志落在有限的分片上。

4.3.3 副本策略与写入优化

• 高可用场景：副本数 ≥ 1，确保任意节点宕机后数据不丢失。
• 高写入场景：临时将副本数设为 0，写入完成后再恢复。可提升 30%~50% 写入性能。
• 查询加速：副本分片可分担查询压力，副本数越多，查询吞吐越高。

4.4 集群监控与故障定位常用API

通过上述命令，SRE 可在 30 秒内定位集群异常根因，为后续恢复操作提供准确依据。