filebeat在ubuntu上的部署策略

在Ubuntu上部署Filebeat的步骤如下：

安装Filebeat

1. 更新系统包列表：

sudo apt update

2. 添加Elastic官方GPG密钥：

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -

3. 添加Elasticsearch APT仓库：

echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list

4. 更新APT包列表：

sudo apt update

5. 安装Filebeat：

sudo apt install filebeat

配置Filebeat

1. 编辑Filebeat配置文件： Filebeat的默认配置文件位于 /etc/filebeat/filebeat.yml。你可以使用文本编辑器打开它，例如使用 nano：

sudo nano /etc/filebeat/filebeat.yml

2. 基本配置： 以下是一个基本的Filebeat配置示例，用于收集系统日志和Apache日志：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/syslog
    - /var/log/apache2/*.log

output.elasticsearch:
  hosts:
    - "localhost:9200"
  index: "filebeat-%{[agent.version]-%{yyyy.MM.dd}}"

3. 高级配置（可选）：

• 忽略特定文件或目录：

filebeat.inputs.ignore_older: 72h
filebeat.inputs.exclude_lines: ['ERROR', 'WARN']

• 添加处理器：

processors:
  - add_cloud_metadata: ~

启动和启用Filebeat服务

1. 启动Filebeat服务：

sudo systemctl start filebeat

2. 启用Filebeat服务：

sudo systemctl enable filebeat

验证安装

1. 检查Filebeat状态：

sudo systemctl status filebeat

2. 查看Filebeat日志：

sudo journalctl -u filebeat -f

3. 验证日志是否被正确发送： 对于Elasticsearch，你可以使用Kibana的Dev Tools或者直接使用curl命令来查询索引：

curl -X GET "localhost:9200/_cat/indices?v"

对于Logstash，你可以查看Logstash的日志文件或者使用以下命令来检查是否有来自Filebeat的事件：

sudo tail -f /var/log/logstash/logstash-plain.log

通过以上步骤，你应该能够在Ubuntu系统上成功安装和配置Filebeat，并将其日志发送到Elasticsearch。根据你的具体需求，可以进一步调整和优化配置文件。建议查阅Filebeat官方文档以获取更详细的配置选项和最佳实践。