Graylog 与 Kibana 有什么区别？
Graylog 是一体化日志管理平台（采集+存储+搜索+告警一体），Kibana 是 Elasticsearch 的应用界面（包含查询展示、管理与告警）。本文从定位、组件、告警、扩展性对比两者并给出选型建议。
已经在用 Elasticsearch、希望继续利用现有查询和可视化，Kibana 通常是自然的选择。需要围绕日志输入、处理、存储管理、告警和权限组织日常工作，Graylog 则提供了一体化的产品入口。真正要比较的是完整部署和维护方式，不能把两个界面当成全部系统。
Kibana 是 Elastic Stack 的应用界面，包含查询展示、管理和告警；数据仍由 Elastic Agent、Beats、Logstash 或 API 等方式接入。Rules/Connectors 与 Watcher 的适用范围也不同，不能因为它不是采集器，就忽略它已有的管理和告警能力。
详细对比
| 维度 | Graylog | Kibana |
|---|---|---|
| 定位 | 一体化日志平台 | Elastic Stack 的查询、可视化与管理界面 |
| 存储 | 当前采用受支持的 Data Node/OpenSearch，MongoDB 保存配置；旧版 Elasticsearch 组合须查对应兼容矩阵 | 依赖 Elasticsearch |
| 采集 | 提供 Beats/Syslog/GELF 等输入，按来源配采集端 | Kibana 不充当采集器，可通过 Elastic Agent、Beats、Logstash 或 API 接入 |
| 告警 | 内置（事件定义+通知） | 含基础与订阅能力，按规则类型/connector核对 |
| 权限管理 | 按版本/套餐核对 | 基础安全能力并非全收费，高级功能需核对订阅 |
| 学习曲线 | 取决于输入、解析及现有维护经验 | 取决于查询、数据模型及现有 Elastic 经验 |
| 可编程性 | Pipeline 规则与 REST API 等 | 查询 API、Vega 及可视化配置等 |
怎么选
Graylog 的价值在于把日志输入、处理、告警与权限放在同一个工作流里，具体能力仍取决于版本和套餐。Kibana 则可以延续已有 ELK 体系中的查询、数据模型和可视化投入。团队规模不能单独决定哪种更合适，已有配置和谁负责后端运行更有实际影响。
如果最紧张的是维护采集、存储和查询组件的人力，观测云这类 SaaS 日志平台会改变分工：服务方运行后端存储、检索与告警，客户继续维护采集和业务规则，无需自行运维 ES 集群[1]。
在观测云侧，DataKit 日志采集文档给出了输入与解析的配置路径。检索字段、保留期和业务告警仍需安排；托管省下的是相应后端的运行工作，并不是把这些数据约定一并取消。“一体化”的意义，也应当落在这种具体分工上。
常见问题（FAQ）
Q：Graylog 和 Kibana 能同时用吗？ 仅在后端与版本兼容、权限/映射允许时可能；现代Kibana面向匹配的Elasticsearch，不能假定可直接接Graylog Data Node/OpenSearch。
Q：Graylog 免费吗？ Graylog Open 免费且源码可用，适用 SSPL；Enterprise 与 Security 的审计、归档等商业能力需按方案授权。Kibana基础安全和部分告警可用，具体规则/连接器/高级安全需按当前订阅与版本核对。
资料依据：Graylog 组件、版本兼容矩阵、Graylog 版本与许可、Elastic Stack 组件及Elastic 订阅能力。
[1]: 观测云文档《日志查看器》https://docs.guance.com/logs/explorer/
