1. Le cahier des charges #
Ce qu'on attend.
Contexte #
Une équipe exploitation veut centraliser les journaux de ses serveurs Linux et d'une application historique qui écrit dans un fichier texte, les conserver 30 jours, les analyser et être prévenue en cas de rafale d'erreurs.
| Exigence | Brique | Formation |
|---|---|---|
| Collecter les logs système des serveurs | Elastic Agent + Fleet | Elastic Agent |
| Structurer les logs de l'application historique | Logstash (dissect, translate) | Logstash |
| Conserver 30 jours | Data streams + ILM | Elasticsearch |
| Analyser et visualiser | ES|QL, Lens | Kibana |
| Alerter sur une rafale d'erreurs | Règle ES|QL + connecteur | Kibana |
| Accès en lecture pour l'équipe | Rôle et espace dédiés | Elasticsearch, Kibana |
2. Les étapes #
Le TP guidé.
Déroulé #
- Monter le labo Fleet (TP 1 de la formation Elastic Agent).
- Vérifier la collecte des logs système.
- Créer le modèle d'index et la politique ILM de 30 jours.
- Ajouter Logstash pour l'application historique.
- Analyser avec ES|QL et construire le tableau de bord.
- Créer la règle d'alerte et le rôle de lecture.
3. Grille d'évaluation #
Ce qui valide le projet.
Critères #
| Critère | Vérification |
|---|---|
| Collecte | l'agent est Healthy dans Fleet et logs-system.*-lab reçoit des données |
| Structuration | les champs log.level, http.response.status_code et le libellé traduit existent dans logs-legacyapp-lab |
| Rétention | GET logs-legacyapp-lab/_ilm/explain montre la politique de 30 jours |
| Analyse | un tableau de bord avec au moins trois visualisations sur les deux sources |
| Alerte | la règle passe en Active lors d'une rafale d'erreurs simulée |
| Sécurité | un utilisateur « lecteur » voit le tableau de bord mais ne peut rien modifier |
Bonne pratique : Exportez le tableau de bord (objets enregistrés) et versionnez-le avec vos fichiers de configuration : c'est votre livrable.
Mon suivi
Connectez-vous pour suivre votre progression et prendre des notes. Se connecter
💬 Questions sur cette leçon
Aucune question pour l'instant : soyez le premier à demander de l'aide ou à partager votre configuration.
Articles recommandés
Machine learning dans Elastic : détection d'anomalies et AIOps
Détecter automatiquement les comportements anormaux : jobs de détection d'anomalies, datafeeds, d...
Elastic Security : SIEM, règles de détection et investigation
Utiliser Elastic Security comme SIEM : sources de données ECS, types de règles de détection (quer...
Kibana Maps et Canvas : cartes géographiques et présentations
Créer des cartes avec Kibana Maps (couches de documents, d'agrégats, choroplèthes, ES|QL) et des ...
Logstash en production : files persistantes, DLQ et multi-pipelines
Rendre Logstash fiable en production : file persistante, dead letter queue, plusieurs pipelines e...
Logstash : enrichir, tester, superviser et déployer sur Kubernetes
Enrichir avec translate, geoip et elasticsearch, consommer Kafka, tester ses pipelines, supervise...
Transforms et enrich : résumer et enrichir les données dans Elasticsearch
Créer des index centrés sur les entités avec les transforms pivot et latest, et enrichir les docu...
Bonnes pratiques Kibana et Elastic Observability
Check-list pour exploiter Kibana en production : versions, sécurité, espaces et rôles, dashboards...
Elastic Observability : logs, infrastructure, APM et synthétiques
Les fonctions d'Elastic Observability : exploration des logs, inventaire d'infrastructure avec El...
Elastic Agent autonome, sorties Logstash et Kafka, et OpenTelemetry (EDOT)
Écrire une configuration autonome, envoyer vers Logstash ou Kafka, et utiliser Elastic Agent comm...