Ubuntu Filebeat在容器化环境中的应用

在Ubuntu容器化环境中，Filebeat可高效采集、传输容器及系统日志，主要应用方式如下：

• 部署方式：通过Docker容器化部署，利用官方镜像（如docker.elastic.co/beats/filebeat）快速运行，支持多实例隔离，可通过--path.config等参数指定配置文件路径。
• 日志采集：
  • 监控Docker容器日志：通过挂载/var/lib/docker/containers目录，采集容器标准输出和错误日志，支持多行日志合并（如Java异常堆栈）。
  • 采集系统日志：通过配置filebeat.inputs指定Ubuntu系统日志路径（如/var/log/syslog），实现主机与容器日志统一管理。
• 数据处理：
  • 自动添加元数据：通过add_docker_metadata处理器关联容器ID、镜像名称等信息，便于日志溯源。
  • 过滤与转换：支持正则表达式过滤（如排除DEBUG日志）、时间格式转换、字段提取等，可通过JavaScript脚本自定义处理逻辑。
• 输出配置：可将日志输出至Elasticsearch、Logstash或Kafka，支持多输出目标，满足不同分析场景需求。
• 资源管理：通过Docker资源限制（如cpus、memory）控制Filebeat资源占用，适合资源有限的容器环境。

参考来源：