Какие плюсы и минусы ELK в микросервисной архитектуре?

ELK Stack в микросервисной архитектуре

ELK (Elasticsearch, Logstash, Kibana) — популярное решение для логирования и аналитики в распределённых системах.

Что такое ELK

Elasticsearch — поисковый движок на базе Lucene. Хранит и индексирует логи. Logstash — обработка и преобразование логов. Собирает логи из разных источников. Kibana — визуализация данных. Дашборды и аналитика.

Архитектура в микросервисах

Микросервис 1 ──┐
Микросервис 2 ──┼──> Logstash ──> Elasticsearch <── Kibana (визуализация)
Микросервис 3 ──┘

Плюсы ELK

1. Централизованное логирование

Все логи из разных сервисов в одном месте.

# На каждом микросервисе отправляем логи в Logstash
import logging
import json
from pythonjsonlogger import jsonlogger

# Логирование в JSON формате
logger = logging.getLogger()
logHandler = logging.StreamHandler()
formatter = jsonlogger.JsonFormatter()
logHandler.setFormatter(formatter)
logger.addHandler(logHandler)
logger.setLevel(logging.INFO)

# Логи в JSON: {"message": "...", "timestamp": "...", "level": "..."}
logger.info('User login', extra={'user_id': 123, 'service': 'auth-service'})

2. Мощный поиск и фильтрация

# Elasticsearch Query DSL (Kibana)
{
  "query": {
    "bool": {
      "must": [
        {"match": {"service": "user-service"}},
        {"match": {"level": "ERROR"}},
        {"range": {"timestamp": {"gte": "2024-03-22"}}}
      ]
    }
  }
}

# Или через Python
from elasticsearch import Elasticsearch

es = Elasticsearch(['localhost:9200'])

response = es.search(
    index='logs-*',
    body={
        'query': {
            'bool': {
                'must': [
                    {'match': {'service': 'user-service'}},
                    {'match': {'level': 'ERROR'}}
                ],
                'filter': [
                    {'range': {'timestamp': {'gte': 'now-1d'}}}
                ]
            }
        }
    }
)

for hit in response['hits']['hits']:
    print(hit['_source'])

3. Дашборды и визуализация

Kibana предоставляет:
- Real-time мониторинг
- Custom дашборды
- Alerts
- Anomaly detection

4. Анализ производительности

# Ищем медленные запросы
response = es.search(
    index='logs-*',
    body={
        'query': {
            'range': {
                'response_time_ms': {'gte': 1000}  # >1 сек
            }
        },
        'aggs': {
            'by_endpoint': {
                'terms': {'field': 'endpoint', 'size': 10}
            }
        }
    }
)

5. Отслеживание распределённых трасс

# Correlation ID для связи логов между микросервисами
from uuid import uuid4
from fastapi import Request

correlation_id = str(uuid4())

logger.info(
    'Request processed',
    extra={
        'correlation_id': correlation_id,
        'service': 'user-service',
        'endpoint': '/users',
        'response_time_ms': 150
    }
)

# В Kibana можно фильтровать по correlation_id и видеть весь путь запроса

Минусы ELK

1. Высокие требования к ресурсам

Elasticsearch потребляет много RAM и CPU.

Ориентировочно:
- Single node: 8GB RAM, 4 CPU
- Кластер: 16-32GB RAM на узел, 8+ CPU
- Объём данных: ~500MB-1GB логов в день требует ~5-10GB диска

# Elasticsearch конфигурация
# elasticsearch.yml
node.name: node-1
cluster.name: my-cluster

# JVM Heap (самый критичный параметр)
ES_JAVA_OPTS: "-Xms8g -Xmx8g"

# Индекс шардирование для масштабирования
index.number_of_shards: 5
index.number_of_replicas: 1

2. Сложность настройки и поддержки

Logstash требует конфигурации для каждого источника логов.

# logstash.conf
input {
  tcp {
    port => 5000
    codec => json
  }
}

filter {
  if [service] == "user-service" {
    grok {
      match => { "message" => "%{COMBINEDAPACHELOG}" }
    }
  }
  
  if [level] == "ERROR" {
    email {
      to => "ops@example.com"
      subject => "Error in %{service}"
    }
  }
}

output {
  elasticsearch {
    hosts => ["localhost:9200"]
    index => "logs-%{+YYYY.MM.dd}"
  }
}

3. Задержка в логировании

Logstash может обрабатывать логи с задержкой при высокой нагрузке.

# В критичных местах используй async loggers
import asyncio
from aioelasticsearch import Elasticsearch

es = Elasticsearch(['localhost:9200'])

async def log_event_async(event: dict):
    await es.index(
        index='logs-realtime',
        body=event
    )

# Используй в handlers
@app.get('/critical')
async def critical_endpoint():
    await log_event_async({'event': 'critical', 'timestamp': datetime.now()})
    return {'status': 'ok'}

4. Затраты на хранение

Большой объём данных требует много дискового пространства.

# Управление жизненным циклом индексов
# Использовать Index Lifecycle Management (ILM)

from elasticsearch import Elasticsearch

es = Elasticsearch(['localhost:9200'])

# Политика: горячие индексы -> теплые -> холодные -> удаление
response = es.ilm.put_lifecycle(
    name='logs-policy',
    body={
        'policy': {
            'phases': {
                'hot': {
                    'min_age': '0d',
                    'actions': {
                        'rollover': {'max_primary_store_size': '50GB'}
                    }
                },
                'warm': {
                    'min_age': '7d',
                    'actions': {
                        'set_replicas': {'number_of_replicas': 1}
                    }
                },
                'delete': {
                    'min_age': '30d',
                    'actions': {'delete': {}}
                }
            }
        }
    }
)

5. Проблемы с масштабированием при пиках

В моменты пиков трафика Logstash может не справляться.

# Альтернатива: использовать message queue
# Logstash читает логи из Kafka вместо TCP

from kafka import KafkaProducer
import json

producer = KafkaProducer(
    bootstrap_servers=['localhost:9092'],
    value_serializer=lambda v: json.dumps(v).encode('utf-8')
)

# На каждом микросервисе
logger.info('Event', extra={'data': 'value'})
# Логирование асинхронное через Kafka
producer.send('logs', {'service': 'user-service', 'message': 'Event'})

6. Безопасность логов

Логи содержат чувствительные данные.

# Маскирование приватной информации
import re

def mask_sensitive_data(log_entry: dict) -> dict:
    if 'password' in log_entry:
        log_entry['password'] = '***'
    if 'token' in log_entry:
        log_entry['token'] = log_entry['token'][:10] + '***'
    if 'email' in log_entry:
        log_entry['email'] = re.sub(r'(.{2}).*(@.+)', r'\1***\2', log_entry['email'])
    return log_entry

# Или на уровне Logstash
# gsub filter удалить пароли
filter {
  mutate {
    gsub => [ "message", "password=\w+", "password=***" ]
  }
}

Альтернативы

1. Splunk — дороговато, но мощнее
2. Datadog — SaaS, простая в use, дорого
3. New Relic — APM + логирование
4. Grafana Loki — легче ELK, для логирования
5. AWS CloudWatch — если на AWS

Итого

Плюсы:

• Централизованное логирование
• Мощный поиск
• Красивая визуализация
• Open source и бесплатно

Минусы:

• Высокие требования к ресурсам
• Сложная настройка
• Задержки при пиках нагрузки
• Затраты на хранение
• Требуется управление жизненным циклом индексов

Совет: ELK хорош для развитых систем (100+ микросервисов). Для стартапа лучше использовать более простые решения (Loki, Datadog).