Приложения пишут структурированные логи (JSON) в stdout; агент на узле (Fluent Bit, Vector, Promtail) собирает их, добавляет метаданные (под, namespace, сервис) и отправляет в хранилище с поиском. ELK/OpenSearch индексирует весь текст — мощный поиск, но дорого по диску и памяти. Loki индексирует только метки, а текст хранит сжатым в объектном хранилище — в разы дешевле, но поиск по содержимому медленнее.
А ещё Сроки хранения: горячие дни для поиска, архив дешевле или удаление
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Структурированный лог:
sotto{"ts":"2026-10-13T10:15:02Z","level":"ERROR","service":"orders",
"trace_id":"4bf92f35","order_id":"A-1042","msg":"payment timeout",
"duration_ms":3012}Поля позволяют фильтровать и считать, а не разбирать текст регулярками.
Сравнение хранилищ:
| ELK / OpenSearch | Loki | |
|---|---|---|
| индекс | полнотекстовый по всем полям | только метки |
| стоимость | высокая | низкая |
| поиск | быстрый по любому слову | фильтр по меткам + перебор |
| эксплуатация | сложный кластер | проще, объектное хранилище |
Надёжность конвейера: буферизация в агенте или очередь (Kafka) перед хранилищем — пик логов не должен ронять приложения или терять данные; лимиты на размер и частоту.
Метки в Loki — как в Prometheus: высокая кардинальность (user_id в метке) ломает хранилище; такие значения — в теле строки.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.