必须使用arm64适配版logstash并配置systemd服务与dsf安全策略：一、下载无jruby的arm64版logstash；二、安装eclipse adoptium arm64 jdk 17；三、创建logstash用户及配置目录；四、编写含cap_net_bind_service和cap_sys_admin的systemd服务单元；五、通过dsfctl注册服务权限并启动验证。
在统信UOS系统上部署Logstash用于日志集中处理时，必须绕过ARM64架构兼容性陷阱、国产系统安全策略限制以及OpenJDK版本错配问题，否则服务启动即报Unsupported major.minor version或memory lock denied错误。
安装适配UOS的Logstash运行环境
统信UOS默认不预装Logstash，且官方x86_64包在ARM64设备上直接运行会触发指令集异常，必须使用Elastic官方提供的ARM64签名版或无JRuby精简版。
方法一：APT源安装（仅限x86_64 UOS桌面版）
1、添加Elastic官方APT源密钥：sudo apt-key adv --fetch-keys https://artifacts.elastic.co/GPG-KEY-elasticsearch
2、写入源配置：echo "deb https://artifacts.elastic.co/packages/8.x/apt stable main" | sudo tee /etc/apt/sources.list.d/elastic-8.x.list
3、更新并安装：sudo apt update && sudo apt install logstash -y
方法二：ARM64二进制部署（强制推荐）
1、下载适配UOS的ARM64版Logstash（如logstash-8.15.0-linux-arm64.tar.gz），避免使用含JRuby的完整版——【UOS内核禁止JRuby动态加载.so库】；
2、解压到安全路径：sudo tar -xzf logstash-8.15.0-linux-arm64.tar.gz -C /opt/ && sudo ln -s /opt/logstash-8.15.0 /opt/logstash
3、验证Java环境：
Logstash 8.x要求OpenJDK 17+，但UOS默认OpenJDK 11不满足——【必须卸载uos自带jdk并安装Eclipse Adoptium ARM64版JDK 17】，否则启动报错Unsupported class file major version 61。
配置Logstash服务与安全策略
统信UOS启用深度安全框架（DSF），Logstash若以root直启会因capability缺失被拦截，必须通过systemd封装并声明权限。
一款AI图像与设计工具，主要用于将文本渲染为图片并返回临时本地文件路径，支持可选的 data URI。适用于 Clawhub 或 Codex，用于将纯文本或带样式的文本进行转换，适合需要提升相关任务效率的用户。
第一步：准备配置文件
1、创建标准管道配置：
sudo tee /etc/logstash/conf.d/uos-syslog.conf input {<br> file {<br> path => "/var/log/messages"<br> start_position => "end"<br> ignore_older => 86400<br> }<br>}<br>filter {<br> grok { match => { "message" => "%{SYSLOGTIMESTAMP:timestamp} %{HOSTNAME:hostname} %{DATA:program}(?:\[%{POSINT:pid}\])?: %{GREEDYDATA:log}" } }<br>}<br>output {<br> elasticsearch {<br> hosts => ["https://es-uos:9200"]<br> ssl_certificate_verification => false<br> }<br>}<br>EOF
第二步：构建systemd服务单元
1、创建/etc/systemd/system/logstash.service，关键字段必须包含：
[Service]<br>Type=simple<br>User=logstash<br>Group=logstash<br>PermissionsStartOnly=true<br>CapabilityBoundingSet=CAP_NET_BIND_SERVICE CAP_SYS_ADMIN<br>SecureBits=keep-caps<br>ExecStart=/opt/logstash/bin/logstash -f /etc/logstash/conf.d/ --log.level=warn
2、创建专用用户：
sudo useradd -r -s /bin/false logstash3、授权目录：
sudo chown -R logstash:logstash /etc/logstash /var/lib/logstash /var/log/logstash
第三步：适配UOS安全策略
1、执行DSF策略注册：sudo dsfctl add-service logstash --user logstash --cap NET_BIND_SERVICE,SYS_ADMIN
2、重载服务并启动：sudo systemctl daemon-reload && sudo systemctl enable logstash && sudo systemctl start logstash
验证Logstash在UOS中正常工作
Logstash启动后需立即验证是否绕过UOS内核级审计拦截，否则日志采集线程会被kill。
1、检查进程状态：sudo systemctl status logstash | grep "active (running)"
2、确认监听端口未被UOS防火墙拦截：sudo ufw status | grep 9600（Logstash HTTP API默认端口）
3、手动触发日志输入测试：echo "test-log-$(date)" | sudo tee -a /var/log/messages
4、5秒后执行：curl -s http://localhost:9600/_node/stats/pipeline | jq '.pipelines.default.events.out'
返回数值大于0即表示采集链路贯通。
