filebeat在ubuntu上的使用教程

在Ubuntu上安装和配置Filebeat的步骤如下：

安装Filebeat

1. 更新系统包列表：

sudo apt update

2. 添加Elastic官方GPG密钥：

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -

3. 添加Elastic官方APT仓库：

echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list

4. 更新APT包列表：

sudo apt update

5. 安装Filebeat：

sudo apt install filebeat -y

配置Filebeat

1. 启动并启用Filebeat服务：

sudo systemctl start filebeat
sudo systemctl enable filebeat

2. 查看Filebeat配置文件位置：

filebeat modules enable system

这将生成默认的配置文件 /etc/filebeat/filebeat.yml。

3. 编辑配置文件： 使用文本编辑器（如nano或vim）打开配置文件进行编辑：

sudo nano /etc/filebeat/filebeat.yml

4. 基本配置示例： 以下是一个基本的Filebeat配置示例，用于收集系统日志和Apache日志：

filebeat.inputs:
- type: log
  enabled: true
  paths:
  - /var/log/syslog
  - /var/log/apache2/*.log

output.elasticsearch:
  hosts:
  - "localhost:9200"
  index: "filebeat-%{[agent.version]-%{yyyy.MM.dd}}"

5. 配置多个输入： 如果有多个日志源，可以在 filebeat.inputs 部分添加更多的输入路径。例如，要收集Nginx日志：

filebeat.inputs:
- type: log
  enabled: true
  paths:
  - /var/log/syslog
  - /var/log/apache2/*.log
  - /var/log/nginx/*.log

6. 配置输出到Elasticsearch： 在上面的示例中，我们已经配置了Filebeat将日志发送到本地的Elasticsearch实例。如果需要将日志发送到远程Elasticsearch集群，请修改 output.elasticsearch.hosts 部分：

output.elasticsearch:
  hosts:
  - "es-node1.example.com:9200"
  - "es-node2.example.com:9200"

启动和启用Filebeat服务

保存并关闭配置文件后，启动Filebeat服务并设置为开机自启：

sudo systemctl start filebeat
sudo systemctl enable filebeat

验证配置

1. 查看Filebeat日志：

sudo journalctl -u filebeat -f

2. 检查Elasticsearch中的数据： 打开Kibana或使用curl命令查看Elasticsearch中是否有Filebeat发送的数据：

curl -X GET "localhost:9200/_cat/indices?v"

高级配置（可选）

根据你的需求，你可能还需要进行一些高级配置，例如：

• 字段映射：自定义字段映射以优化搜索和分析。
• 处理器：使用处理器对日志数据进行预处理。
• 模块：利用Elastic提供的预构建模块来简化配置。

更多详细信息和高级配置选项，请参考Filebeat官方文档。