EFK构建日志平台-收集k8s、容器、节点日志

先判断这门课值不值得学

如果你在团队里负责运维或后端，大概率遇到过这种场景：线上的业务跑在容器里，某天接口突然报错，你登录节点想看日志，发现容器已经重启，日志全丢了；或者几百个 Pod 散落在几十台机器上，查一个问题要 ssh 登录五六台机器 grep 半天。这门课解决的就是这个问题——用 EFK 把 K8s 集群里容器、节点、业务服务的日志统一收上来，集中存储和检索。它不讲大而全的可观测性体系，聚焦在"日志怎么收集、怎么存、怎么查"这条链路上，目标很明确。对于想往云原生运维方向转的人来说，日志平台是绕不开的基础设施，比学一堆零散命令更有体系感。

适合什么基础，建议先看哪几块

这门课默认你已经对 K8s 有基本认知，知道 Pod、DaemonSet、ConfigMap 是什么，至少能独立部署一个集群。如果你完全没碰过 K8s，资料里前几节关于 K8s 架构的解读可以当预习材料先过一遍，但别指望靠这部分从零补，那是另一个体系。真正核心的内容从"常见日志收集方案对比"开始，建议先看这一节，理解为什么选 EFK 而不是 ELK 或 Loki，搞清楚 Filebeat 和 Fluentd 的取舍逻辑。之后 Elasticsearch 的基础概念那几节不要跳，尤其是索引和分片的机制——很多人搭完平台发现日志查不到或者磁盘爆了，根因都是对 ES 存储模型没概念。组件介绍部分虽然短，但是后面实操的骨架，建议带着"日志从产生到落地进 ES 经过哪些环节"这个问题去听。

学完能独立做什么，资料怎么配合练习

学完之后你应该能独立完成这几件事：在 K8s 集群里部署 Filebeat 以 DaemonSet 方式运行，收集每个节点上的容器标准输出日志和文件日志；配置自定义服务的日志路径，让非标准位置的应用日志也能被采集；把日志送进 Elasticsearch 做持久化存储，并在 Kibana 里建索引模式、写查询语句做排查。资料配合练习的方式上，建议不要只看视频跟着点头，边看边在自己环境里搭。准备一套测试用的 K8s 集群就行，资源不用太大，关键是把采集规则改出问题来——比如故意把日志路径配错，看 Filebeat 的日志怎么报错；故意造一个高频日志的服务，观察 ES 磁盘增长曲线。这些踩坑过程比顺顺利利走一遍更有价值，也是你以后在实际工作中真正会遇到的问题。整体节奏上，建议花一到两周集中学完，拖太久前后内容容易断档。