ELK 是 Elasticsearch + Logstash + Kibana 的简称，现在官方套件叫 Elastic Stack。

1. Elasticsearch（ES）

核心：存储 + 检索 + 分析引擎

• 分布式搜索引擎，底层基于 Lucene

• 接收结构化日志，做倒排索引存储

• 提供近实时搜索、聚合统计（求和、分组、TOPN）

• 支持海量日志快速查询、过滤

一句话：存数据、查数据、算指标

2. Logstash

核心：数据采集、清洗、转换、转发（管道）

• 典型三段式：input → filter → output

  • input：数据源接入（文件、TCP、Kafka、syslog 等）

  • filter：清洗（切割字段、类型转换、正则提取、删除脏数据、添加标签）

  • output：输出到 ES、文件、Kafka 等

• 支持丰富插件，日志格式化主力

一句话：捞日志、洗日志、送日志 ⚠️ 注意：Logstash 资源开销偏大，生产上经常用 Filebeat 替代它做采集端

3. Kibana

核心：可视化、Web UI、控制台

• ES 的可视化面板，基于 ES 的查询结果画图

• 能力：日志检索页面、仪表盘（折线 / 柱状 / 饼图）、告警、Timeline、DevTools（调试 DSL）

• 权限控制、空间管理

一句话：看日志、做图表、查 ES 语句

补充常见架构（生产）

Filebeat（轻量采集） → Kafka（削峰） → Logstash（清洗） → Elasticsearch → Kibana Filebeat 不属于 ELK 三大件，但几乎是标配。

本文原创作者：易君召，详见：https://www.yijunzhao.cn/authors/yijunzhao，转载请注明出处。

原文链接 https://www.yijunzhao.cn/archives/elk-three-core-components-roles-guide

欢迎访问 小易撩挨踢