请问elk分布式日志架构下为啥需要用redis这样的消息队列，而不是直接Logstash 存入ES里呢？

Question

为什么部署不是各个应用服务器都去安装logstash。logstash采集本地log4j产生的日志，然后输入进es里，而中间加一层redis的目的是什么呢？ 还有一个问题是，log4j有些插件可以直接把产生的日志写进es里，直接用这样的不是更方便么？连logstash都省去了。请问这样做有什么不好的么？

Answer 1

logstash、redis（一般是用LIST）都是队列，起到缓冲作用，也就是削峰填谷。
如果直接写到ES的话，由于ES的HTTP API处理能力有限，在日志写入频繁的情况下可能会超时、丢失，所以用队列来做缓冲。
还有些公司是用RabbitMQ、Kafka，以及一些更先进的消息队列来缓冲日志的。