从 ELK 迁移到 Loki

适用场景

日志量大、成本敏感、已有 Grafana/Prometheus，且主要按标签+时间检索日志时，从 Elasticsearch/Logstash/Kibana 迁移到 Loki。

前置条件

• 盘点索引、Kibana 看板、告警和 Logstash 管道。
• 部署 Loki、对象存储和采集器（Alloy/Promtail/Fluent Bit）。
• 设计标签体系，避免高基数。
• 准备双写/并行运行和回滚窗口。

步骤

1. 盘点现有查询和看板：

curl -s 'http://es:9200/_cat/indices?v'
# 导出 Kibana saved objects
curl -s 'http://kibana:5601/api/saved_objects/_export' -X POST

2. 部署 Loki 和采集器：

# Loki 配置要点
auth_enabled: false
server:
  http_listen_port: 3100
storage_config:
  boltdb_shipper:
    active_index_directory: /loki/index
    cache_location: /loki/cache
  filesystem:
    directory: /loki/chunks

3. 设计标签：

{namespace="prod", app="api", level="error"}

不要使用请求 ID、用户 ID 等高基数字段作为标签。

4. 改写查询：

{app="api"} |= "error"
{app="api"} | json | status >= 500
sum by (level) (count_over_time({app="api"} | json [5m]))

5. 并行运行：

• 采集器同时写 ES 和 Loki（或双写一段时间）。
• 在 Grafana 中重建关键看板和告警。
• 对比日志量、查询结果和成本。

6. 切换并保留回滚：

• 停止写 ES，保留旧索引只读。
• 确认 Loki 保留期和对象存储成本。
• 保留 Kibana/ES 一段时间用于对照。

验证

• 日志采集完整，标签正确。
• 关键查询、看板和告警可用。
• 查询延迟和成本符合预期。
• 保留期和删除策略生效。

回滚

• 恢复采集器写 ES。
• 切回 Kibana 看板。
• 保留 Loki 数据和配置。

常见坑

• Loki 只索引标签，全文检索是扫描式；复杂搜索可能比 ES 慢。
• 标签基数过高会拖垮 Loki；先治理标签。
• Logstash 的解析/enrichment 要在采集器或 Loki 查询层重做。
• Kibana 专属功能（机器学习、Canvas 等）没有直接对应。
• 保留期和对象存储生命周期要一起配置。

相关命令

• logcli — Loki 查询
• logstash / filebeat — 旧采集
• elasticsearch / kibana — 旧存储与界面