1、问题收集case by case

1.1 Kibana role角色编辑失败

在kibana控制台上编辑角色，可是在点击 Roles时，无法跳转到编辑页面。

排查日志发现，在反复在查这个系统索引。导致这个系统索引all shards failes。所以报错http code 500 ，服务内部错误

解决办法：该系统索引是负责 xpack 功能下的 安全配置相关的信息，删了也可以 重启之后也会生效， 只是 在kibana 里配置的功能就clear 了。

重启如果无法解决，加大分页数也能解决问题。

PUT /.kibana/_settings
{
"index": {
"max_result_window": 10000
}
}

2、突发和持续的查询写入消耗性能

Overview中"Search Rate"和"indexing rate"上涨，"nodes"的"advanced"图表，"indexing thread"和"read threads"出现queue堆积和持续rejections

解决办法：限流或者扩容

3、kibana连接超时

https://elasticsearch.cn/?/question/10960

查看当前集群的状态，发现集群中有一个数据节点当时cpu和负载特别高。

查看日志发现：service unavailable

重启数据节点，释放资源，解决问题。

原因：kibana仅是一个可视化工具，所有的数据都在es上，包括kibana自身的数据。集群不健康数据读取不到，导致kibana的连接超时。

4、ELK中无法启动kibana，解决“Elasticsearch is still initializing the kibana index... ”

kibana出现无法启动的问题，5601端口未连接，但进程存在，查看日志发现有如下报错

"Elasticsearch is still initializing the kibana index... Trying again in 2.5 second."

ps:查看日志可以用 kibana -l xxx.log

{"name":"Kibana","hostname":"kt52","pid":3607,"level":30,"msg":"Elasticsearch is still initializing the kibana index... Trying again in 2.5 second.","time":"2015-07-10T02:40:12.473Z","v":0}

解决办法
1. /_plugin/gui/ 使用gui删除.kibana的索引
2. curl -XDELETE http://localhost:9200/.kibana

5、新建可视化中分片查找失败

byte字段一开始设置为long

"byte": {
"type": "long"
},

index pattern创建后识别的字段类型为：number

后面新增的索引nginx_access*的索引时，byte字段设置为text类型，导致后面新增的索引，用number类型去匹配而找不到分片

"byte": {
"type": "text",
"fields": {
"keyword": {
"type": "keyword",
"ignore_above": 256
}
}
},

6、kibana修改密码日志

 7、可视化kibana控制台进不去

报 {'statusCode':400,'error':'Bad Request','message':'[illegal_argument_exception] application privileges must refer to at least one resource'}       解决方案：.kibana开头的索引删除，重启集群后恢复

集群负载过高，监控数据无法采集，kibana无法访问，检查是否集群索引（分片）太多导致