Kibana est un visualiseur de logs très complet et assez facile à prendre en main. Nous utilisons actuellement la version 4.4 de Kibana.

Une fois que les logs ont été formatés par Logstash puis stockés et indexés au sein de notre cluster Elasticsearch, ceux-ci sont disponibles et peuvent être facilement consultés (c'est d'ailleurs le but d'un moteur d'indexation et de recherche). Souvent, il peut être également très pratique d'analyser ces logs dans leur ensemble. On utilise pour cela un visualiseur de logs tel que Kibana afin de construire différents types de graphiques.

Si Kibana 3 était auparavant installé directement sur chaque noeud Elasticsearch, nous avons maintenant une VM dédiée à Kibana 4. En bon composant de la stack ELK, Kibana va directemement interroger le cluster Elasticsearch sans que l'on ait à s'embêter.

Commencez par télécharger la dernière version de Kibana sous forme d'une archive compressée que vous placerez dans /opt avant de la décompresser puis de la désarchiver. Vous avez donc un dossier /opt/kibana. Pour lancer Kibana, il suffit d'aller dans ce dossier et de lancer le programme bin/kibana. Toutefois, cela lance Kibana en premier plan et nous voulons bien entendu un service init pour que Kibana tourne en tant que daemon. Vous trouverez des scripts init fonctionnnels sur le web, à vous de les adapter correctement.

Pour ce qui est de la configuration, tout se trouve dans le fichier /opt/kibana/config/kibana.yml :

server.port: 5601
server.host: "0.0.0.0"

# L'adresse de l'un des noeuds Elasticsearch que Kibana contactera (peu importe lequel)
elasticsearch.url: "http://192.168.102.229:9200"

# L'index Elasticsearch que Kibana utilise pour stocker les dashboards
kibana.index: ".kibana"

# Pour avoir les logs dans /var/log
logging.dest: /var/log/kibana/kibana.log

L'interface de Kibana est accessible depuis votre navigateur web à l'adresse http://192.168.102.73:5601/app/kibana (derrière le VPN).

Toutes les vues (ie les graphiques) se créent grâce à l'interface graphique. Vous pouvez ensuite les enregistrer : vous créez ainsi une dashboard, c'est-à-dire un graphique qui évoluera en temps réel (si vous vous êtes bien débrouillés) en fonction des nouveaux logs qu'il puise dans notre cluster Elasticsearch.

Comme pour les autres composants de la stack ELK, n'hésitez pas à consulter la très bonne documentation officielle.