Filebeat是一个轻量级的日志收集工具，用于收集日志数据并将其转发到集中存储或处理系统，如Elasticsearch或Logstash。在CentOS系统上，Filebeat的工作原理如下：
启动Filebeat：当启动Filebeat时，它会启动一个或多个input，这些input会查找日志数据指定的位置。
Harvester读取日志：对于Filebeat找到的每个日志，Filebeat都会启动一个harvester。每个harvester读取单个日志以获取新内容，并将新日志数据发送到libbeat组件。
数据转发：libbeat将汇总事件，并将汇总的数据发送到Filebeat配置的output（如Elasticsearch、Logstash、Kafka等）。
状态管理：Filebeat会保留每个文件的采集状态，并经常将状态刷新到磁盘上的注册表文件中。该状态用于记住harvester读取的最后一个偏移量，并确保发送所有日志行。如果无法访问Elasticsearch或Kafka等output，Filebeat会跟踪发送的最后几行，并在output再次可用时继续读取文件。
配置和灵活性：Filebeat的配置文件filebeat.yml允许用户指定要监控的日志文件或目录、输出目标以及额外的配置选项，如日志旋转处理、多行日志合并、条件过滤等。
与ELK集成：Filebeat常与Elasticsearch、Logstash和Kibana（ELK Stack）一起使用，Filebeat收集日志后，Logstash可以对日志进行进一步的处理和过滤，然后将处理后的数据存储到Elasticsearch中，Kibana则用于数据的可视化和分析。
Filebeat通过这些步骤和组件，实现了从日志收集到转发的完整流程，为用户提供了高效、灵活的日志管理解决方案。