在CentOS上配置Filebeat以收集日志，可以按照以下步骤进行：
首先，确保你的CentOS系统已经安装了Elasticsearch和Kibana。然后，你可以使用以下命令安装Filebeat：
sudo yum install filebeat
安装完成后，你需要编辑Filebeat的配置文件。默认情况下，配置文件位于 /etc/filebeat/filebeat.yml。
打开配置文件并确保以下基本配置正确：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
fields:
type: logs
这个配置表示Filebeat将收集 /var/log/ 目录下的所有日志文件，并将它们标记为 logs 类型。
如果你只想收集特定的日志文件，可以修改 paths 字段：
paths:
- /var/log/messages
- /var/log/secure
Filebeat默认将数据发送到Elasticsearch。你可以配置输出目标：
output.elasticsearch:
hosts: ["localhost:9200"]
如果你使用的是Elastic Stack（Elasticsearch, Logstash, Kibana），你也可以配置Filebeat将数据发送到Logstash：
output.logstash:
hosts: ["localhost:5044"]
配置完成后，启动Filebeat并设置为开机自启动：
sudo systemctl start filebeat
sudo systemctl enable filebeat
你可以通过查看Filebeat的日志文件来验证配置是否正确：
sudo tail -f /var/log/filebeat/filebeat
此外，你也可以通过Kibana的Dev Tools界面查看Filebeat发送的数据：
GET /_search
{
"query": {
"match_all": {}
}
}
你可以在 fields 部分添加自定义字段，以便在Elasticsearch中进行更好的查询和分析：
fields:
environment: production
application: myapp
如果你不想收集某些文件，可以使用 ignore_files 字段：
ignore_files:
- "\\.log\\.bak$"
Filebeat支持多种处理器，可以在配置文件中添加处理器来处理日志数据：
processors:
- add_fields:
fields:
new_field: "new_value"
通过以上步骤，你可以在CentOS上配置Filebeat来收集日志，并将其发送到Elasticsearch或Logstash。根据你的具体需求，可以进一步调整和优化配置。