GUIDE TECHNIQUE · ELASTIC STACK (ELK)
Collecter les logs avec Elastic Agent et Fleet
Créer une Agent Policy, installer Elastic Agent sur un hôte de recette et démontrer que les journaux Linux arrivent dans des data streams consultables.
L’ESSENTIEL EN BREF
Les étapes clés
Ce guide présente 4 étapes, de « Cadrer et préparer » à « Valider et documenter ».
Avant de commencer : Disposer d’un environnement de recette autorisé, distinct de la production.
01 · CADRAGE
Périmètre et résultat visé
Résultat attendu : Un seul agent installé sur l’hôte remonte Healthy.
Public concerné : Ingénieurs observabilité, administrateurs Elastic Stack et équipes RUN.
Elastic Agent Fleet-managed et Fleet Server configuré. Adapter les commandes d’installation à la version proposée par Kibana.
Contrôlez les versions, les droits et les options disponibles dans votre environnement avant de suivre la procédure.
02 · AVANT DE COMMENCER
Prérequis et points de contrôle
- Disposer d’un environnement de recette autorisé, distinct de la production.
- Contrôler compatibilité des versions, TLS, droits minimaux et flux réseau.
- Préparer des données fictives et un protocole de retour arrière.
03 · VUE D’ENSEMBLE
Comprendre l’architecture et les flux
04 · TUTORIEL
Procédure complète, étape par étape
Suivez les étapes dans l’ordre et contrôlez chaque résultat avant de poursuivre. Renseignez les paramètres adaptés à votre environnement.
ÉTAPE 1 / 4
Cadrer et préparer
La qualité du déploiement dépend de la compatibilité des versions et du périmètre choisi.
- Vérifier Fleet Server, les droits Fleet et la communication TLS avec l’instance cible ; définir une politique dédiée à la recette.
- Relever le résultat attendu et la preuve associée.
sudo elastic-agent statusÀ vérifier : Un seul agent installé sur l’hôte remonte Healthy.
Point de vigilance : N’utiliser que des identifiants fictifs et les accès minimaux.
ÉTAPE 2 / 4
Configurer les composants
La configuration doit être reproductible et attribuée à un propriétaire technique.
- Dans Fleet > Agent policies, créer une politique puis y ajouter l’intégration System avec les jeux de données réellement nécessaires.
- Faire relire les modifications ayant un effet sur les données ou les accès.
sudo journalctl -u elastic-agent --since '15 min ago'À vérifier : Des documents datés et tagués sont visibles dans le bon data stream.
Point de vigilance : Ne pas désactiver TLS ni contourner les restrictions réseau.
ÉTAPE 3 / 4
Exécuter la procédure
Une recette observable permet d’identifier la première étape en défaut.
- Depuis Add agent, employer la commande d’installation générée par Kibana pour cette politique ; ne jamais publier l’enrollment token.
- Relever le résultat attendu et la preuve associée.
GET _data_stream/logs-*À vérifier : Aucun jeton d’enrôlement ni donnée sensible ne figure dans le guide ou les captures.
Point de vigilance : Comparer les logs et les métriques avant de conclure au succès.
ÉTAPE 4 / 4
Valider et documenter
La validation porte sur les données réellement collectées et le diagnostic du RUN.
- Contrôler l’état Healthy et ouvrir Discover sur logs-* ; filtrer host.name, data_stream.dataset et @timestamp pour prouver l’arrivée des événements.
- Faire relire les modifications ayant un effet sur les données ou les accès.
GET _data_stream/logs-*À vérifier : Aucun jeton d’enrôlement ni donnée sensible ne figure dans le guide ou les captures.
Point de vigilance : Documenter les écarts et les conditions d’annulation.
RÉFÉRENCES TECHNIQUES
Documentation officielle
Retrouvez les prérequis, les fonctionnalités et les versions prises en charge par Elastic Stack (ELK). Vérifiez les commandes sur un environnement de test avant leur utilisation en production.
05 · RECETTE
Comment vérifier que tout fonctionne ?
Un seul agent installé sur l’hôte remonte Healthy.
Des documents datés et tagués sont visibles dans le bon data stream.
Aucun jeton d’enrôlement ni donnée sensible ne figure dans le guide ou les captures.
06 · DIAGNOSTIC
Problèmes fréquents et résolution
Agent Offline
Cause probable : Endpoint Fleet inaccessible ou certificat invalide
Que faire : Tester DNS, port Fleet Server et CA.
Aucune donnée
Cause probable : Intégration System absente ou chemin non lisible
Que faire : Examiner les inputs et le journal Elastic Agent.
Données dans un autre index
Cause probable : Dataset ou namespace imprévu
Que faire : Filtrer data_stream.namespace et la policy utilisée.
07 · QUESTIONS PRATIQUES
Questions fréquentes
Peut-on appliquer cet exemple directement en production ?
Non. Valider versions, permissions, capacités et plan de retour arrière en recette avant toute décision de déploiement.
Comment prouver que la procédure fonctionne ?
Conserver la sortie des commandes non sensibles, le périmètre des données et les critères de validation.
Quand escalader au support éditeur ?
Lorsque les prérequis et logs d’erreur ont été vérifiés et qu’une incompatibilité ou un comportement non documenté persiste.
AUTRES TECHNOLOGIES
Guides complémentaires
VOTRE ENVIRONNEMENT
Besoin d’aller plus loin sur votre environnement ?
Échangeons sur votre environnement Elastic Stack (ELK) : pratiques, sécurité et exploitation.
Échanger avec ADN Consulting