36.5.2. Elasticsearch

将以下行添加到 Ansible 清单文件，以创建 NFS 自动配置的存储类并动态置备后备存储：

openshift_logging_es_pvc_storage_class_name=$nfsclass
openshift_logging_es_pvc_dynamic=true

使用以下命令，使用日志记录 playbook 部署 NFS 卷：

ansible-playbook /usr/share/ansible/openshift-ansible/playbooks/openshift-logging/config.yml

使用以下步骤创建 PVC：

编辑 Ansible 清单文件以配置 NFS 卷并设置 PVC 大小：

openshift_logging_storage_kind=nfs
openshift_logging_storage_access_modes=['ReadWriteOnce']
openshift_logging_storage_nfs_directory=/share 1
openshift_logging_storage_nfs_options='*(rw,root_squash)' 2
openshift_logging_storage_labels={'storage': 'logging'}
openshift_logging_elasticsearch_storage_type=pvc
openshift_logging_es_pvc_size=10Gi
openshift_logging_es_pvc_storage_class_name=''
openshift_logging_es_pvc_dynamic=true
openshift_logging_es_pvc_prefix=logging

使用以下命令重新部署 EFK 堆栈：

ansible-playbook /usr/share/ansible/openshift-ansible/playbooks/deploy_cluster.yml

必须授予相关的服务帐户来挂载和编辑本地卷：

  $ oc adm policy add-scc-to-user privileged  \
         system:serviceaccount:openshift-logging:aggregated-logging-elasticsearch

每个 Elasticsearch 节点定义都必须补丁才能声明该权限，例如：

$ for dc in $(oc get deploymentconfig --selector component=es -o name); do
    oc scale $dc --replicas=0
    oc patch $dc \
       -p '{"spec":{"template":{"spec":{"containers":[{"name":"elasticsearch","securityContext":{"privileged": true}}]}}}}'
  done

在每个基础架构节点上为本地 Elasticsearch 存储创建一个本地挂载点：

$ mkdir /usr/local/es-storage

在 Elasticsearch 卷上创建文件系统：

$ mkfs.ext4 /dev/xxx

挂载 elasticsearch 卷：

$ mount /dev/xxx /usr/local/es-storage

在 /etc/fstab 中添加以下行：

$ /dev/xxx /usr/local/es-storage ext4

更改挂载点的所有权：

$ chown 1000:1000 /usr/local/es-storage

赋予将本地卷挂载到相关服务帐户的权限：

  $ oc adm policy add-scc-to-user privileged  \
         system:serviceaccount:openshift-logging:aggregated-logging-elasticsearch

要声明该权限，请对每个 Elasticsearch 副本定义进行补丁，如下例所示，这为 Ops 集群指定 --selector component=es-ops ：

  $ for dc in $(oc get deploymentconfig --selector component=es -o name);
do
    oc scale $dc --replicas=0
    oc patch $dc \
       -p '{"spec":{"template":{"spec":{"containers":[{"name":"elasticsearch","securityContext":{"privileged":
true}}]}}}}'
done

在正确的节点上找到 Elasticsearch 副本以使用本地存储，也不会移动它们，即使这些节点在一段时间内停机。要指定节点位置，请为每个 Elasticsearch 副本赋予一个唯一一个管理员为其分配存储的节点的节点选择器。

要配置节点选择器，请编辑每个 Elasticsearch 部署配置，添加或编辑 nodeSelector 部分，以指定您所需的每个节点应用的唯一标签：

apiVersion: v1
kind: DeploymentConfig
spec:
  template:
    spec:
      nodeSelector:
        logging-es-node: "1"

该标签必须唯一地识别一个带有标签的一个节点的副本，在本例中为 logging-es-node=1。

为每个所需节点创建节点选择器。根据需要，使用 oc label 命令将标签应用到多个节点。

例如，如果您的部署有三个基础架构节点，您可以按如下方式为这些节点添加标签：

  $ oc label node <nodename1> logging-es-node=0
  $ oc label node <nodename2> logging-es-node=1
  $ oc label node <nodename3> logging-es-node=2

要自动使用节点选择器的应用程序，请使用 oc patch 命令而不是 oc label 命令，如下所示：

  $ oc patch dc/logging-es-<suffix> \
     -p '{"spec":{"template":{"spec":{"nodeSelector":{"logging-es-node":"1"}}}}}'

完成这些步骤后，您可以将本地主机挂载应用到每个副本。以下示例假设存储挂载到每个节点的同一路径，并为 Ops 集群指定 --selector component=es-ops。

$ for dc in $(oc get deploymentconfig --selector component=es -o name);
do
    oc set volume $dc \
          --add --overwrite --name=elasticsearch-storage \
          --type=hostPath --path=/usr/local/es-storage
    oc rollout latest $dc
    oc scale $dc --replicas=1
done

要将 Elasticsearch 作为重新加密路由访问，请定义以下变量：

openshift_logging_es_allow_external=True
openshift_logging_es_hostname=elasticsearch.example.com

进入 playbook 目录并运行以下 Ansible playbook：

$ cd /usr/share/ansible/openshift-ansible
$ ansible-playbook [-i </path/to/inventory>] \
    playbooks/openshift-logging/config.yml

要远程登录到 Elasticsearch，请求必须包含三个 HTTP 标头：

Authorization: Bearer $token
X-Proxy-Remote-User: $username
X-Forwarded-For: $ip_address

您必须具有项目的访问权限，以便能访问其日志。例如：

$ oc login <user1>
$ oc new-project <user1project>
$ oc new-app <httpd-example>

您需要获取这个 ServiceAccount 的令牌，以便在请求中使用：

$ token=$(oc whoami -t)

使用之前配置的令牌，您应能够通过公开的路由访问 Elasticsearch：

$ curl -k -H "Authorization: Bearer $token" -H "X-Proxy-Remote-User: $(oc whoami)" -H "X-Forwarded-For: 127.0.0.1" https://es.example.test/project.my-project.*/_search?q=level:err | python -mjson.tool