Fonctionnalitées Kibana 6.8.2 pour les logs et metrics

[YannM5]

Bonjour,

Depuis l'upgrade de version de kibana je me suis un peu plus intéressé à l'outil, et il se trouve que de nombreuses fonctionnalités sont disponible avec la dernière version :

Je me demandais s'il était possible de profiter de ces fonctionnalités à travers votre offre ?

Pour préciser ma demande je souhaite faire parvenir les metriques des composants applicatifs dans un index dédié et utilisé les nouvelles fonctionnalités propres a Kibana 6.8.2.

Un autre topic parle de la possibilité de le faire :

Metricbeat & Logstash

Hello, First of all thank you for your interest in Logs Data Platform and sorry for not having answered earlier, we usually respond in one business day so be sure we won't be as slow to answer in the future. Using Metricbeats with the Logstash collector is feasible but not practical. you would have to use a mutate filter to add a "message" field in your configuration and select the fields you want to keep because we prevent messages with a number of fields > 200 fields. Moreover you would h…

J'aimerais savoir aussi si la possibilité d'activer et de charger les dashboards pour chaque modules metricbeat est possible, comme présent dans la page de tutorial de base de kibana.

Cordialement,
Yann.

[BabacarD]

Bonjour,

Comme vous l'avez souligné, La suite Elastic propose une multitude de focntionnalités avec X-Pack. Cependant, proposer X-Pack aujourd'hui sur nos clusters nécessite un travail de cloisonnement et de validation qui n'a pas encore été fait. Nous travaillons à rendre disponible certaines des fonctionalités de X-Pack.

Charger les dashboards à travers les modules Metricbeat ne fonctionne pas pour le moment. Nous allons regarder comment rendre disponible cette fonctionalité.

Comme vous l'avez compris, il est cependant tout à fait possible d'utiliser Metricbeat avec LDP (et Index As A Service) mais les dashboards seront donc à créer manuellement à partir des données brutes. Nous pouvons vous accompagner sur ce point si nécessaire.

[YannM5]

Ok merci beaucoup pour la réponse.
Pas de problème pour les dashboards, je reviendrai vers vous en cas de besoin.

Merci encore !

[YannM5]

Bonjour,

Nous avons suivi la procédure pour créer un alias elasticsearch :
https://docs.ovh.com/gb/en/logs-data-platform/using-kibana-with-logs/

Nous arrivons a contacter cet index :
{
"took": 7,
"timed_out": false,
"_shards": {
"total": 75,
"successful": 75,
"skipped": 0,
"failed": 0
},
"hits": {
"total": 0,
"max_score": null,
"hits": []
}
}

Mais sur la page de création d'index pattern de kibana, lorsqu'on renseigne l'alias complet rien n'est trouvé.
Nous avons déjà un alias renseigné dans les pattern de kibana, est-il possible d'en ajouter un second ?

De plus dans les logs du service metricbeat un ping sur la page/_xpack?human=false est fait au serveur. Une 403 est renvoyé par elasticsearch est-ce problématique ?
Du coup j'ai l'impression que la connexion vers elasticsearch ne se fait pas et que les metrics ne sont pas envoyé :

Failed to connect to backoff(elasticsearch(https://gra2.logs.ovh.com:9200)): Connection marked as failed because the onConnect callback failed: cannot retrieve the elasticsearch license: error from server, response code: 403

[BabacarD]

Bonjour,

Pouvez vous lier votre alias à un stream avec des données et re-tester ? Il n'y a pas de limite particulière (hors l'espace consommé par l'indice Kibana) sur le nombre d'alias et d'indices que vous pouvez ajouter dans votre Kibana.

Pour ce qui est de metricbeat, il vous faut prendre la version Apache ou complètement désactiver les fonctionalités X-Pack car celles-ci ne sont pas supportées par notre version d'Elasticsearch. Vous trouverez la version Apache sans X-Pack ici:
https://www.elastic.co/fr/downloads/beats/metricbeat-oss

[YannM5]

Oui effectivement, cette version de metricbeat ne provoque plus d'erreur.

L'index est maintenant visible depuis kibana, j'ai crée un documents directement via l'api elasticsearch.

Maintenant il semblerais que metricbeat ne pousse pas les metriques dans l'index elasticsearch.
le mapping ne semble pas être accepté :

ERROR pipeline/output.go:100 Failed to connect to backoff(elasticsearch(https://gra2.logs.ovh.com:9200)): Connection marked as failed because the onConnect callback failed: Error loading Elasticsearch template: could not load template. Elasticsearch returned: couldn't load template: couldn't load json. Error: 403 Forbidden

Quelles informations il faut extraire du template par default de metricbeat ? et ou faut ils les ajouter ?
l'exemple donné plus haut n'est plus accessible :
https://plik.root.gg/file/AXctYWxEWguhKFjm/oABx8ArTN4jyNqAJ/default_mapping

Auriez vous plus d'explications sur l'importation du mapping dans l'index elasticsearch en général ?

[BabacarD]

Bonojur,

Nous n'autorisons pas la création de templates sur nos clusters Elasticsearch pour le moment. Il vous faudra désactiver cette étape dans la configuration de metricbeat en mettant l'option
setup.template.enabled: false
dans la configuration de metribeat.

Vous devrez ensuite mettre à jour le mapping de votre indice grâce à l'api PUT Mapping d'Elasticsearch : https://www.elastic.co/guide/en/elasticsearch/reference/6.8/indices-put-mapping.html . On peut vous aider à générer le mapping dont vous auriez besoin. Quels sont les modules de metricbeat que vous allez utiliser ?

[YannM5]

Bonjour,

Merci, j'ai besoin principalement du module docker et traefik, puis de nginx et postgresql.

Merci encore.

[BabacarD]

Bonjour, vou spouvez récupérer le mapping correspondant à ces modules ici :

https://gist.github.com/jehuty0shift/4fa45e03987a3fa9c9cfe97ebab6bf21

Notez que ce mapping est fait pour fonctionner avec la version oss de metricbeat 7.3.1 (et non la version xpack bien que la compatibilité devrait être totale).
Pour poser ce mapping sur votre indice il vous faudra effectuer le call suivant comme indiqué dans la documentation:

curl -H "Content-Type: application/json" -XPUT https://your-cluster.logs.ovh.com:9200/your-index-name/_mapping/_doc -d "@mapping.json"

en remplaçant "your-cluster" et "your-index-name" par leurs valeurs respectives et en mettant le fichier de mapping fourni ci-dessus dans "mapping.json."

N'hésitez pas à nous dire si vous avez pu effectuer cette manipulation sur votre indice.

[YannM5]

L'appel tel quel ne fonctionne pas :

{"error" : "Unauthorized"}

En passant mon token dans l'appel :

{"error":{"root_cause":[{"type":"remote_transport_exception","reason":"[master.gra2.logs.ovh.com][172.16.12.1:9350][indices:admin/mapping/put]"}],"type":"illegal_argument_exception","reason":"mapper [user] of different type, current_type [text], merged_type [ObjectMapper]"},"status":400}

[BabacarD]

Bonjour, en effet j'ai oublié de préciser qu'il faut s'authentifier pour faire ce call mais vous l'avez deviné.

Par contre, ce call ne fonctionnera que sur un indice ou le mapping n'a pas été déjà posé. Ce qui n'est pas le cas si il y a déjà eu des données poussées par metricbeat sur votre indice. Dans ce cas vous n'avez pas d'autre choix que de supprimer et de recréer un indice vide.

[YannM5]

Bonjour,

J'ai recréer un nouvel index elasticsearch et j'ai bien chargé le mapping que vous m'avez fournit.

curl -H "Content-Type: application/json" -XPUT https://your-cluster.logs.ovh.com:9200/your-index-name/_mapping/_doc -d "@mapping.json"

{"acknowledged":true}

De plus je vois le bon mapping quand je vais sur l'url de l'index.

Par contre lorsque metricbeat démarre une nouvelle erreur semble être lié au mapping :

{"type":"illegal_argument_exception","reason":"Rejecting mapping update to [logs-] as the final mapping would have more than 1 type: [_doc, doc]"}

[BabacarD]

Bonjour, toutes mes excuses, j'ai ajouté un malencontreux "_"sur doc.
La bon call à faire est sans le '_' :
curl -H "Content-Type: application/json" -XPUT https://your-cluster.logs.ovh.com:9200/your-index-name/_mapping/doc -d "@mapping.json"

Désolé pour cette erreur, ça devrait marcher avec cette correction.

[YannM5]

Merci ! Effectivement ça fonctionne !
Les métriques sont maintenant visible dans kibana.

Une dernière petite chose pour différencier les métriques d'un environnent a un autre il faut que j'ajoute des champs supplémentaire. Sur ma config metricbeat j'ai ajouté ceci à la config pour créer les champs personnalisé dans mon elasticsearch :

fields_under_root: true
fields:
client: moi
environment: Local
service-name: traefik

Lorsque j'ajoute ces champs dans la config metricbeat qui pousse vers le elasticsearch OVH j'ai cette erreur :

{"type":"mapper_parsing_exception","reason":"object mapping for [client] tried to parse field [client] as object, but found a concrete value"}

Je suppose qu'il faut ajouter ces champs dans le mapping ? A quel endroit il faut ajouter ces champs supplémentaire ?

[BabacarD]

Cette erreur indique que le mapping contient déjà une entité nommée client qui est un objet (sûrement créé par un des modules). Il vous est donc impossible d'utiliser cette valeur pour votre champ presonnalisé. Préférez une autre valeur par ex "client_tag"

[YannM5]

Merci pour tout !
ça fonctionne parfaitement !

[YannM5]

Bonjour,

Une petite question à propose des indexes supplémentaires,
est-ce qu'ils sont réinitialisé tous les mois comme pour l'index principal de la plateforme ?

[BabacarD]

Bonjour,

Non, nous n'effectuons aucune réinitialisation des données des indices supplémentaires Elasticsearch. Les indices supplémentaires fonctionnent exactement comme des espaces de stockage. C'est donc aussi à vous de vous assurer qu'ils ne soient jamais pleins, vous avez les droits de lecture, écriture et suppression sur les documents de votre indice.
S'il s'avérait que votre indice dépasse sa taille maximale, vous serez bloqué en écriture et devrez donc libérer de l'espace en supprimant des documents.