如何用Filebeat收集CentOS日志

要使用Filebeat在CentOS上收集日志，请按照以下步骤操作：

1. 安装Elastic Stack（以前称为ELK Stack）：

   首先，您需要在CentOS上安装Elasticsearch、Logstash和Kibana。访问Elastic官方网站（https://www.elastic.co/downloads/elasticsearch）下载适用于CentOS的Elasticsearch和Kibana安装包。然后，按照官方文档中的说明进行安装。

2. 安装Filebeat：

   访问Elastic官方网站（https://www.elastic.co/downloads/beats/filebeat）下载适用于CentOS的Filebeat安装包。然后，按照官方文档中的说明进行安装。

3. 配置Filebeat：

   在安装完成后，找到Filebeat的安装目录（通常位于/usr/share/filebeat），并打开filebeat.yml配置文件。在这个文件中，您可以指定要收集的日志文件和日志路径。

   例如，如果您想要收集/var/log/messages和/var/log/secure这两个日志文件，可以在filebeat.yml文件中添加以下内容：

   filebeat.inputs:
   - type: log
     enabled: true
     paths:
       - /var/log/messages
       - /var/log/secure
   

   如果您想要收集特定类型的日志，可以使用processors选项来过滤日志。例如，如果您只想要收集包含"ERROR"关键字的日志，可以添加以下内容：

   processors:
   - add_fields:
       when:
         contains:
           message: "ERROR"
       fields:
         log_level: "error"
   

4. 启动Filebeat：

   在配置好Filebeat之后，您可以使用以下命令启动Filebeat服务：

   sudo systemctl start filebeat
   

   要使Filebeat在系统启动时自动运行，请执行以下命令：

   sudo systemctl enable filebeat
   

5. 验证Filebeat是否正常工作：

   您可以通过访问Kibana的Web界面（通常位于http://<your_elasticsearch_ip>:5601）来验证Filebeat是否正常工作。在Kibana中，转到"Management" > “Stack Management” > “Index Patterns”，查看是否有与Filebeat相关的索引模式。如果有，说明Filebeat已经成功收集了日志并将其发送到Elasticsearch。

通过以上步骤，您应该已经成功地在CentOS上使用Filebeat收集了日志。根据您的需求，您可以进一步自定义Filebeat的配置，以满足特定的日志收集和分析需求。