对照速查
| 维度 | Elasticsearch（ELK） | Loki |
|---|---|---|
| 索引方式 | 倒排索引全文可检索 | 只索引标签，正文压缩存块 |
| 查询语言 | DSL / KQL / Lucene | LogQL |
| 资源占用 | CPU 与内存开销较大 | 相对轻量，成本与写入量相关 |
| 分析能力 | 聚合与全文检索能力强 | 围绕日志的指标化与过滤 |
| 典型场景 | 审计、复杂检索、多维分析 | 云原生日志、与指标同栈 |
选型看问题形态：需要复杂全文检索与审计追溯倾向 ELK；需要低成本日志与指标统一体验倾向 Loki。
本包目录（282 条）
监控体系与方法40 条Prometheus 与采集64 条Grafana 与看板53 条
日志平台52 条
- ELK 技术栈分工与数据流
- LogQL 指标查询：把日志变成时间序列
- Mapping 与字段类型选择
- 聚合：从日志里做统计
- LogQL 流选择器基础
- LogQL unwrap：对数值字段做统计
- 索引、分片与副本基础
- Bool 查询：组合检索条件
- ILM 索引生命周期管理
- Logstash Pipeline：input/filter/output
- Grok 解析非结构化日志
- Filebeat 采集配置入门
- Loki 标签设计原则
- LogQL 解析器：json / logfmt / regexp / pattern
- Promtail 采集配置：目标与推送
- 结构化日志：字段化与规范
- 索引模板与自动应用
- Bulk 批量写入
- 集群健康与红色分片处置
- Kibana Query Language（KQL）
- Discover：日志检索工作台
- Date 过滤器：统一时间戳
- 输出到 Elasticsearch
- Loki 架构与组件分工
- LogQL 行过滤：|=、!=、|~、!~
- LogQL 的 topk 与分组聚合
- Term 与 Range：精确值与范围查询
- 排序与深分页
- Cat API：集群巡检常用接口
- 多行日志合并（堆栈跟踪）
- Filebeat 模块：开箱配置与管线
- Promtail Pipeline：解析与标签加工
- 日志级别选择与噪声控制
- ES 节点角色与部署形态
- 快照备份与恢复
- Kibana 看板：日志可视化组合
- Mutate：字段改名、删减与类型转换
- Processors：轻量字段处理
- Loki 写入与查询限额
- journalctl：systemd 日志速查
- ELK 与 Loki 的选型对照
- Multi-field：text 附带 keyword 子字段
- Refresh 与近实时可见性
- ES 堆内存与文件缓存
- Kibana Data View（数据视图）
- Logstash 持久化队列与死信队列
- Loki 保留策略配置
- 日志成本估算与采样策略
- 慢查询日志配置
- Filebeat 注册表与文件状态
- 日志轮转与清理
- Promtail positions 文件管理
ELK 与 Loki 的选型对照
两者取舍围绕“索引什么”：ES 全文索引换来检索能力与资源开销，Loki 只索引标签换来低成本与运维简单；按查询深度与预算选择。
易错点
- 混用两套栈时 trace_id 与时间字段命名要统一，否则关联查询成本高
- “先上再选型”容易双倍维护：明确查询需求与预算后再定主栈
数据来源与参考
- Elastic 官方文档
- Grafana 官方文档 · Loki overview