elk stack在linux中部署需按elasticsearch→logstash→kibana顺序安装配置：先装java 11+，再分别安装各组件，启用安全认证，配置网络与权限，最后启动服务并验证端口与kibana登录。
如果您希望在Linux系统中构建一个集中式日志分析平台，ELK Stack（Elasticsearch、Logstash、Kibana）是主流选择之一。以下是基于主流Linux发行版（如CentOS 8/9、Ubuntu 20.04/22.04）的完整部署步骤：
一、准备Java运行环境
Elasticsearch和Logstash依赖Java 11或更高版本，必须预先安装并配置好JDK。不满足此条件将导致服务无法启动。
1、执行java -version检查是否已安装Java 11+；若未安装，则根据系统选择对应命令：
2、在Ubuntu上运行：sudo apt update && sudo apt install -y openjdk-17-jdk
3、在CentOS/RHEL上运行：sudo dnf install -y java-17-openjdk-devel
4、验证JAVA_HOME是否正确设置：echo $JAVA_HOME，若为空则需手动导出：export JAVA_HOME=/usr/lib/jvm/java-17-openjdk
二、安装Elasticsearch
Elasticsearch作为ELK的数据存储与检索核心，需独立部署并启用安全功能（如TLS和用户认证）以保障生产环境可用性。
1、下载官方RPM/DEB包：访问https://www.elastic.co/downloads/elasticsearch，获取对应系统的最新稳定版链接；
2、在Ubuntu上执行：wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
3、添加APT源后更新并安装：sudo apt-get install elasticsearch
4、在CentOS上执行：sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch
5、编辑/etc/elasticsearch/elasticsearch.yml，设置：network.host: 0.0.0.0与http.port: 9200，并启用安全模块：xpack.security.enabled: true
6、首次启动前初始化密码：sudo /usr/share/elasticsearch/bin/elasticsearch-setup-passwords auto
三、安装Logstash
Logstash负责采集、过滤和转发日志数据，其配置文件定义了输入源、处理逻辑与输出目标，必须与Elasticsearch版本严格兼容。
1、Ubuntu下直接安装：sudo apt-get install logstash
2、CentOS下执行：sudo dnf install logstash
3、创建配置文件/etc/logstash/conf.d/syslog.conf，内容包含input（如file/beats）、filter（如grok解析）、output（指向Elasticsearch）三段；
4、确保output中指定Elasticsearch用户名密码：user => "elastic"与password => "your_generated_password"
5、测试配置语法：sudo -u logstash /usr/share/logstash/bin/logstash -t -f /etc/logstash/conf.d/syslog.conf
四、安装Kibana
Kibana提供可视化界面，需与Elasticsearch通信，并使用相同版本号；其前端请求默认由Nginx反向代理时需额外配置CORS与X-Forwarded-For头。
1、Ubuntu安装命令：sudo apt-get install kibana
2、CentOS安装命令：sudo dnf install kibana
3、编辑/etc/kibana/kibana.yml，设置：server.host: "0.0.0.0"、elasticsearch.hosts: ["https://localhost:9200"]；
4、配置Elasticsearch认证信息：elasticsearch.username: "kibana_system"与elasticsearch.password: "generated_kibana_system_password"
5、启用HTTPS访问（可选但推荐）：生成SSL证书并配置server.ssl.enabled: true及对应路径；
五、启用服务并验证连通性
各组件必须按Elasticsearch → Logstash → Kibana顺序依次启动，否则因依赖关系失败；systemd状态需全部显示为active (running)。
1、依次执行启用命令：sudo systemctl daemon-reload
2、启动Elasticsearch：sudo systemctl enable elasticsearch && sudo systemctl start elasticsearch
3、启动Logstash：sudo systemctl enable logstash && sudo systemctl start logstash
4、启动Kibana：sudo systemctl enable kibana && sudo systemctl start kibana
5、检查端口监听状态：sudo ss -tuln | grep -E '9200|5601|5044'
6、访问http://[服务器IP]:5601，使用elastic用户登录，进入Stack Management → Index Patterns创建索引模式；
