使用filebeat日志收集到elasticsearch服务器上

admin

filebeat是轻量级日志收集框架，go语言开发。需要在每个日志收集的终端部署，配置日志文件路径。可以将日志收集到es，logstash，这里以收集到elasticsearch为例。配置主要分为input和output两块。解压后有filebeat.yml配置文件，主要针对该文件进行配置。
. u+ |' {  W; c5 L( X
5 T3 M8 @# M3 _- type: log
; R; w3 o" @0 P2 L2 v#日志文件位置
' s& x* t7 T$ g+ {$ j  paths:
! r5 {3 i3 ?' B! Y' ~/ i    - /data/logs/*/*.log
output.elasticsearch:
/ q, m' ?7 L6 ]3 D, L  #es连接信息
3 t6 R$ K$ T# h$ K& G0 N! Q  hosts: ["localhost:9200"]
  protocol: "http"
  username: "elastic"
. W7 h8 B4 w# Q& r7 g8 e. y7 t  password: "888888"
0 F% j- l+ f& `" `  ]- F会自动创建一个 "filebeat-%{[agent.version]}-%{+yyyy.MM.dd}-%{index_num}"


+ `' W0 a3 C$ r! j9 v
: s* v3 p9 Y, Z& U# c2 e' ^+ @例子：

vim  /etc/filebeat/filebeat.yml
. m/ M7 _# P- q2 ~  e& i
! \* [1 @: ^& \. Q2 ofilebeat.inputs:
6 L" l- D8 G" E5 z% h2 [/ P$ ^ - type: log
$ z5 L; {( H" U. _4 B   enabled: true
% F3 h; `) b$ s  h2 ~, v   paths:
% ~' B% ?+ b  s* w6 w- Y' e: P    - /var/log/messages
   tags: ["messages"]
   fields_under_root: true
; j9 s7 }7 l. @! z
- type: log
. k2 }: c' [4 d0 k: j" v' ^" _; ?   enabled: true
   paths:
    - /var/log/nova/nova-compute.log
   tags: ["nova-compute"]
8 N* v& z& C: g% l   fields_under_root: true

- type: log
   enabled: true
, G9 ^4 V9 s2 z! N   paths:
    - /var/log/nova/nova-manage.log
   tags: ["nova-manage"]
   fields_under_root: true
1 U0 m' z/ g2 r- j1 s* F* C
7 N" z& c% f6 c+ r9 o - type: log
   enabled: true
   paths:
4 m. `0 {2 s0 s5 p6 e    - /var/log/nova/scheduler.log
   tags: ["scheduler"]
   fields_under_root: true
0 S+ X1 T, w! L: R- ?1 I
3 @+ G3 K& P# P) j. \0 P - type: log
- `* F& r) e; C$ K! K* N   enabled: true
   paths:
8 L. A. U8 o7 A4 I3 Q5 k* J    - /var/log/nova/conductor.log
: }# x# g$ n, |- R   tags: ["conductor"]
0 Y! Y/ o3 o3 D, i0 R   fields_under_root: true

" E$ ~8 u6 y% i' j9 N - type: log
0 |5 X7 E% H. t/ q1 T  w   enabled: true
   paths:
/ p! [* h& L4 \3 ^6 u    - /var/log/nova/cert.log
1 {1 @3 J" c+ W4 P# Y7 B2 @% g, y   tags: ["cert"]
   fields_under_root: true
$ G( c. L+ h1 A; T  P8 Y% Q
- type: log
   enabled: true
  F0 ^1 A+ d* L: p/ @   paths:
! e. v3 P) U& C- X/ m# D) l    - /var/log/nova/consoleauth.log
   tags: ["consoleauth"]
   fields_under_root: true
3 u: S! T; w6 M( _5 q! c
- type: log
# t" r8 }* i+ v! F# ~2 e   enabled: true
   paths:
    - /var/log/nova/nova-novncproxy.log
/ |& a9 R' `5 {   tags: ["nova-novncproxy"]
   fields_under_root: true

! v) T" y9 j" X2 {# g - type: log
   enabled: true
   paths:
    - /var/log/rabbitmq/rabbit*.log
# N  M) w) v; V9 i  j$ P+ i2 S' d   tags: ["rabbit"]
6 f: m  I! P4 f   fields_under_root: true

- type: log
   enabled: true
   paths:
    - /var/log/glance/*.log
3 R7 K8 {6 }6 Q5 c* x) R  ]& G   tags: ["glance"]
   fields_under_root: true
9 U+ U  Y% Z* \) }3 k
- type: log
7 D( S$ ^0 P4 G2 ^# m& j* r   enabled: true
+ X1 B7 h: f" z* U   paths:
    - /var/log/neutron/openvswitch-agent.log
, ]7 H! Z; u7 f; p7 x, `5 |# h   tags: ["openvswitch-agent"]
   fields_under_root: true
4 a3 U0 B& z. @8 ?. @& Z4 I
- type: log
   enabled: true
1 P3 P! `1 V( `  U5 D   paths:
0 v. N7 t* k5 q4 F3 A6 L% m' c    - /var/log/kuryr/kuryr-controller.log
" L  z/ F2 r! L! j# c2 S# Q5 J   tags: ["kuryr-controller"]
   fields_under_root: true
# ]9 @( ~6 K, K! {- c6 F
- type: log
   enabled: true
   paths:
7 B6 P4 b2 C% V6 }- V    - /var/log/keystone/keystone.log
   tags: ["keystone"]
  J% }$ n' [! t' E" D   fields_under_root: true
- V5 ^) O$ p7 ?
output.elasticsearch:
  hosts: ["172.24.110.12:9200", "172.24.110.12:9200"]
  username: elastic
2 T( t% ^0 _& D# U) `5 D- ], X3 h  password: xxxxxxx
  indices:
" P. ]* Y1 g6 z9 M4 C    - index: "compute_messages-error-%{[agent.version]}-%{+yyyy.MM.dd}"
# I7 f% t0 l4 O+ o) e      when:
# f( e5 i* R4 j# q6 {% ^$ l        or:
3 h7 j/ K! |" l' [% j          - contains:
! w  j( G2 H* {2 _2 E              tags: "messages"
- M, U7 u0 U2 e/ L% i              message: "err"
          - contains:
              tags: "messages"
; I1 W9 u, C2 V0 S! [              message: "ERR"
' b) L( [* ~7 o6 }# B          - contains:
0 T6 T! Z) F3 w              tags: "messages"
* o! p; M7 A# L2 v, `+ R              message: "fail"
8 x9 h' [1 t2 @' r% U. k    - index: "compute_messages-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
4 n9 n4 f0 p( j* I- t7 y        tags: "messages"
    - index: "compute_nova-compute-error-%{[agent.version]}-%{+yyyy.MM.dd}"
5 C1 \, o2 r/ L5 z9 v& w( I( v      when:
0 O" \3 Y( D  h" `; A5 q% {8 G% y+ x. X        or:
          - contains:
" b) O  {7 H! ]. y5 M" F              tags: "nova-compute"
! M* n( M) P( {2 Q5 n% @- j              message: "err"
7 s1 T% G5 _" |          - contains:
  s5 Y% o! K+ ]1 m! F6 A6 c              tags: "nova-compute"
              message: "ERR"
0 u' x* H( _+ ^          - contains:
              tags: "nova-compute"
  T8 A; N3 H' h- u2 P2 _, X              message: "fail"
    - index: "compute_nova-compute-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
        tags: "nova-compute"
( X/ l0 f! A& U# s& q, }  ]
    - index: "controller_nova-manage-error-%{[agent.version]}-%{+yyyy.MM.dd}"
6 J) h0 L8 |, `      when:
        or:
          - contains:
% v( D) [- Q8 `# J5 r7 u: b              tags: "nova-manage"
/ A3 ~. F8 h$ T# f; q: @/ j              message: "err"
3 Z6 H- L5 c- j8 E8 \5 h5 H          - contains:
+ t* p" l9 d" R              tags: "nova-manage"
              message: "ERR"
          - contains:
' Q/ @( @7 |9 [; W& w+ w              tags: "nova-manage"
8 ?* ]/ F0 d3 o+ ?: v2 w              message: "fail"
! x1 _6 F" e) C8 W+ @% ^    - index: "controller_nova-manage-%{[agent.version]}-%{+yyyy.MM.dd}"
0 l* V# f2 l8 K2 w' p" F8 p      when.contains:
        tags: "nova-manage"
  R* v0 z% T( q, v/ l3 z  u5 N$ o: n  z
    - index: "controller_scheduler-error-%{[agent.version]}-%{+yyyy.MM.dd}"
      when:
        or:
          - contains:
7 k' Y! j# r0 H              tags: "scheduler"
              message: "err"
" E3 k2 Z4 ~& T8 e$ Z9 |$ z          - contains:
              tags: "scheduler"
$ H  o0 N3 p; B$ i" [              message: "ERR"
' m& a3 e/ R$ s, c; ^& n          - contains:
, s" p3 }! j4 ?7 P, l1 f' a1 [/ f              tags: "scheduler"
              message: "fail"
    - index: "controller_scheduler-%{[agent.version]}-%{+yyyy.MM.dd}"
' S; D- s# r2 j6 Q$ C      when.contains:
2 K" {  N, r) \' c7 ^        tags: "scheduler"

/ W3 z: `+ V5 `/ E, W1 G    - index: "controller_conductor-error-%{[agent.version]}-%{+yyyy.MM.dd}"
      when:
3 v% F' p2 s/ f0 p0 M# Z5 |        or:
          - contains:
: Q0 z% R8 q5 E( H, v# d              tags: "conductor"
              message: "err"
          - contains:
              tags: "conductor"
) v/ q# U$ x& t              message: "ERR"
          - contains:
              tags: "conductor"
              message: "fail"
+ L; Y# t3 x* t8 t    - index: "controller_conductor-%{[agent.version]}-%{+yyyy.MM.dd}"
5 `- z; C! P7 z6 F/ f0 o2 e1 K      when.contains:
8 O% i+ b$ y7 n) }7 c2 Z        tags: "conductor"
( p8 z: z& o$ g  b& C2 m. v) B
    - index: "controller_cert-error-%{[agent.version]}-%{+yyyy.MM.dd}"
      when:
        or:
# }: s& `: H1 S8 ]/ h/ x# u          - contains:
              tags: "cert"
              message: "err"
          - contains:
  M3 k9 {. r& m* H              tags: "cert"
              message: "ERR"
          - contains:
+ J% [2 D. K# ~' a              tags: "cert"
3 ]: `  a5 n  U8 D# ]              message: "fail"
" u. f5 b, p$ y4 b    - index: "controller_cert-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
7 c  k3 J8 m* f, R1 u        tags: "cert"

    - index: "controller_consoleauth-error-%{[agent.version]}-%{+yyyy.MM.dd}"
* B. A$ j' \9 h& q3 Y* g; Y- q      when:
' B7 x+ ?7 S5 d8 h7 S        or:
. y9 x6 [5 w( E8 n, u( }          - contains:
              tags: "consoleauth"
              message: "err"
          - contains:
( Q' u1 l: C& U/ E2 z+ x              tags: "consoleauth"
/ i- f2 ~- ~1 n6 k              message: "ERR"
, K  R8 H  ]0 ~) }$ m          - contains:
: W8 e, g% |/ M# D' ?              tags: "consoleauth"
              message: "fail"
    - index: "controller_consoleauth-%{[agent.version]}-%{+yyyy.MM.dd}"
0 f0 y0 Z$ H, [' q      when.contains:
- [- t  j6 h1 ^% L7 }        tags: "consoleauth"

    - index: "controller_nova-novncproxy-error-%{[agent.version]}-%{+yyyy.MM.dd}"
& u0 C' U; R! O; Z: q      when:
6 M; C2 A1 R8 P' H# y' A8 g        or:
          - contains:
' n0 w) @+ e0 g* m. C              tags: "nova-novncproxy"
& I/ a$ ^5 m9 q7 M              message: "err"
$ c" L5 ]. H6 _* K' C          - contains:
              tags: "nova-novncproxy"
/ Q( h: L% p! q# P              message: "ERR"
          - contains:
! s! q! Q; k: I" u4 E              tags: "nova-novncproxy"
+ F: x) `" J4 h3 m# ?  O              message: "fail"
% V4 I) L- G7 g) y- {    - index: "controller_nova-novncproxy-%{[agent.version]}-%{+yyyy.MM.dd}"
/ ^1 K& P# D! h" X1 \: e2 u3 H      when.contains:
0 f/ a+ \# @6 H2 l3 p        tags: "nova-novncproxy"
* u# G  H8 m6 q
+ t2 v! \  F0 \5 R, a/ x5 U1 P    - index: "controller_rabbit-error-%{[agent.version]}-%{+yyyy.MM.dd}"
      when:
        or:
0 }2 U3 T% f5 l; H* M          - contains:
' X  n. l& a; @# {4 E/ ?3 u$ `/ Q              tags: "rabbit"
* E* S5 M2 `( I) r& F5 ]0 D; {9 `              message: "err"
; M& b) V. D3 ^3 C7 E- ?" b          - contains:
  W% k, P/ t/ ^& ~  C$ A              tags: "rabbit"
              message: "ERR"
          - contains:
1 k( @- `; V4 Z( u7 e. D2 \5 x              tags: "rabbit"
  u5 s' l6 g7 D3 X" d7 k              message: "fail"
    - index: "controller_rabbit-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
        tags: "rabbit"
2 F5 c) n2 l1 A1 U. v# X8 l
$ N6 O( A# R$ [* z6 U7 V    - index: "controller_glance-error-%{[agent.version]}-%{+yyyy.MM.dd}"
  a1 ]; I; N: a3 d      when:
( c4 g0 {7 u/ j- [$ I; @! i        or:
          - contains:
, j/ t$ d: q  G- v' O              tags: "glance"
; g% `4 @8 D" r# @& u5 K              message: "err"
          - contains:
              tags: "glance"
              message: "ERR"
9 ~8 ?; b; A5 d' O4 p          - contains:
              tags: "glance"
              message: "fail"
    - index: "controller_glance-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
1 t) t# e" b/ p& W        tags: "glance"

' X  ?3 ?+ M2 Z8 H7 n! f0 V; }    - index: "controller_openvswitch-agent-error-%{[agent.version]}-%{+yyyy.MM.dd}"
      when:
! e* b; y, x' I' i$ ]        or:
          - contains:
3 {4 Y' |8 e8 g8 p, `              tags: "openvswitch-agent"
              message: "err"
1 {9 C: y  |8 i7 E" ]          - contains:
              tags: "openvswitch-agent"
+ B& t" D8 Q) o' K% Y              message: "ERR"
          - contains:
              tags: "openvswitch-agent"
! ~3 Q& C- p7 p" ^) G              message: "fail"
: Z/ P  p' J- C# e    - index: "controller_openvswitch-agent-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
        tags: "openvswitch-agent"
2 Q/ v" n, N" w" E9 Q
    - index: "controller_kuryr-controller-error-%{[agent.version]}-%{+yyyy.MM.dd}"
      when:
        or:
4 W6 ^1 O  ^4 W% b          - contains:
              tags: "kuryr-controller"
" i6 v4 V5 X8 g& S" d9 e              message: "err"
! z' v. V; c5 y          - contains:
              tags: "kuryr-controller"
1 p7 B5 ]3 \  ]+ s8 C1 S+ n              message: "ERR"
3 |0 q  A  s+ O          - contains:
5 q; e( ?2 L* O% a8 l3 }6 f              tags: "kuryr-controller"
              message: "fail"
    - index: "controller_kuryr-controller-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
        tags: "kuryr-controller"
; l8 ^3 \+ P: B, T6 y2 \) v
9 x. D9 p3 }" m/ V# L" u    - index: "controller_keystone-error-%{[agent.version]}-%{+yyyy.MM.dd}"
4 \: O5 Z9 q/ `, C& \: u      when:
        or:
6 R9 [2 |! I& K3 k7 M( l- H          - contains:
              tags: "keystone"
$ P; l- Z% O( N8 [0 [  I( ]              message: "err"
          - contains:
              tags: "keystone"
, S7 ~! v: |+ E1 n( ]2 \              message: "ERR"
# L: Q, T5 _2 j: B+ L* j          - contains:
              tags: "keystone"
              message: "fail"
7 P5 ?- @* V8 _. x% \7 m    - index: "controller_keystone-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
) M$ O) H5 s+ F9 w4 ?        tags: "keystone"
9 \: F. u7 k" J# e4 d' B
setup.ilm.enabled: false
$ ~2 b0 q( V) Z  z7 w4 dsetup.template.name: system
setup.template.pattern: system-*

8 g* N$ ]% L7 V, n( Z0 Z* X
8 P: f6 X+ o6 a

$ Y- I, q$ }/ ^3 Z! y- i例：filebeat-7.12.1-2023.05.16-000001索引文件
$ o( F% r2 n3 W6 d4 Z  J
索引创建规则
0 }% u0 M6 f3 w: J
默认使用es的索引声明周期策略

index lifecycle management (ILM) 生成索引

配置ILM

#auto false true
setup.ilm.enabled: auto
+ m( N3 q* F$ [7 n/ o#索引别名
setup.ilm.rollover_alias: "filebeat"
5 i6 W' ?" v6 L% r, k* ?3 F4 S#索引增加策略
setup.ilm.pattern: "{now/d}-000001"
) c% E1 o/ U6 B; t& k% Wsetup.ilm.enabled默认值auto，自动使用es中filebeat生命周期策略创建索引
2 ~- u, h5 v+ ~8 {' D
& @8 S. i$ j# A- @, \$ fsetup.ilm.rollover_alias默认值filebeat-%{[agent.version]} ，创建索引时指定索引别名。

setup.ilm.pattern默认值%{now/d}-000001，索引rollover增加策略。

自动生成的索引名就是使用alias+pattern。类似filebeat-7.12.1-2023.05.16-000001这种。
8 b7 O! a/ `+ i
更多配置参考：https://www.elastic.co/guide/en/beats/filebeat/7.17/ilm.html
% r. C: K: e! \+ [0 V1 D
自定义索引文件

output.elasticsearch可以指定index，使用自定义索引第一步就是要关闭ILM,

setup.ilm.enabled: false
下一步要配置setup.template.name和setup.template.pattern
* d8 w3 c' P! ~' n
setup.template.name: "filebeat"
7 T7 p7 n6 x" y9 D1 t3 y; _0 @2 Asetup.template.pattern: "filebeat-*"
4 Z& Z: M% w- ?1 ~setup.template.overwrite: false
4 {0 V$ U) a) v1 i9 |( P在output.elasticsearch指定index
# O+ A& t  Z5 V! }* j
index: "spring-%{[agent.version]}-%{+yyyy.MM.dd}"
运行就会自动生成索引spring-7.12.1-2023.05.16。index定义可以使用上下文定义变量。可以在input里自定义field
" M$ l* J/ t5 D" D/ v! `
fields:
. @3 q) j+ T, C    level: system
    region: A1
自定义的fields会一并push到索引中，index中使用自定义的fields
$ t6 {6 O* }4 G& v7 n5 |+ W
1 u6 c' i6 [5 G* y; \index: "spring-%{[fields.region]}-%{[agent.version]}-%{+yyyy.MM.dd}"
会生成索引：spring-a1-7.12.1-2023.05.16。这里A1自动转成小写了。
$ K& g4 z# _* a1 d  L1 U
; u9 H5 P2 Q- e$ f# a8 x日志多行合并
0 X; C6 ]6 r8 o* J2 \
默认情况下收集日志一行一条记录，有些情况下比如格式化输出，异常栈。一条完整的日志会包含多行数据。这时候就需要配置多行匹配。配置项在filebeat.inputs里
! C2 \! t6 V7 g
multiline.pattern: '^\['
multiline.negate: true
3 g: k/ q7 F, f& Z5 Emultiline.match: after
multiline.pattern指定日志匹配正则，这里'^['就是匹配以 [ 开头的行。这个地方的具体格式就要合实际输出的日志格式相匹配了。
5 ]$ y$ h/ c! J% D1 X0 V8 B, ?) G2 V- e/ m
negate和match两个参数结合使用，没太看懂，理解其来感觉有点绕，自己看官方演示例子吧https://www.elastic.co/guide/en/ ... iline-examples.html，有个表格图例。大体意思就是遇到不匹配的是向上合并还是向下合并，归属于那一条。这里配置true和after就是不匹配的格式行归属到上一个匹配的结果行。
0 C, C& x/ ~# b7 b3 k4 Z6 U! r
根据条件写入不同索引
- l+ t2 V3 @5 a; O) O
: r, e- _* [+ u! A8 m+ W/ R: coutput.elasticsearch:
% d9 i# `& d5 Y6 q  hosts: ["http://localhost:9200"]
  indices:
    - index: "warning-%{[agent.version]}-%{+yyyy.MM.dd}"
/ M4 x+ K, L6 o  S- ]      when.contains:
        message: "WARN"
    - index: "error-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
/ `0 u3 B$ ^  {9 M) V        message: "ERR"
) `7 d. o- V: _  [* k5 N! R7 F
判断message内容，是否包含某些内容。不做演示。

收集到的日志可在kibana 日志功能界面化查看检索。需要配置日志索引匹配模式，例如上面的我们就需要新增匹配日志模式spring-*。
6 h/ N. c! A( X" X+ a
, K% l( D# _% p+ T' R; j& N最后filebeat.yml有效配置大概这样

filebeat.inputs:
+ A8 F0 B' s/ g, k- type: log
5 C/ b& R/ Q$ \2 z' g  enabled: true
+ r0 G; x7 w; ^8 `. [+ }  paths:
9 r0 K3 H  O8 n    - /data/logs/*/*.log
, l9 l" C+ j0 W# w+ F0 c) s
  fields:
6 d+ ]2 u' _: K1 Q7 Z9 D# b    level: system
    region: A1

- e- j$ g" m  F: f, o+ M3 a  multiline.pattern: '^#\['
  multiline.negate: true
  multiline.match: after
8 K2 W- o. k! b% R$ ^' {. H
output.elasticsearch:
/ J& z% B3 K+ Q- `% S( A& C  hosts: ["localhost:9200"]
- M: K2 _9 o8 {# u1 d' F  protocol: "http"
9 I% `7 T3 I) b2 t  username: "elastic"
  password: "888888"
" |9 Q+ X! l' p: `3 Z7 \  index: "spring-%{[fields.region]}-%{[agent.version]}-%{+yyyy.MM.dd}"

) C7 k, L+ F$ @' Usetup.ilm.enabled: false
( \; f, K0 L+ z4 L, Asetup.template.name: "filebeat"
4 j1 ~! Z' W. o+ Zsetup.template.pattern: "filebeat-*"
setup.template.overwrite: false
9 X  {0 T6 H# n' y; ?$ u* l6 [

admin

/app/logs/info.log日志文件为JSON格式
. Y8 `! ~) U; c0 F- X自定义索引生命周期名为：pn_springboot,可提前建好
! v8 z) w/ U* R  d自定义索引名为：idx_springboot
自写义索引模板名为：tn_springboot

admin

filebeat配置会把所有的索引都放到同一个文件中，通过摸索发现可以自定义索引的名字、模板、生命周期

（重点注意）该配置文件只适应于ES版本是8，不适应于其他版本
( s* W  Z% t& u0 ^$ L4 @
/app/logs/info.log日志文件为JSON格式
自定义索引生命周期名为：pn_springboot,可提前建好
5 W% d* L( g! I1 r自定义索引名为：idx_springboot
自写义索引模板名为：tn_springboot

ES8版本默认生成的是数据流，不是默认的索引，这么配置生成的数据流名称就是idx_springboot，
不是默认的filebeat了，如查索引发现生成长索引名是.ds-idx_springboot-2024.07.21-000001这种格式的，但我们配置视图时，选idx_springboot就行了
; ^1 |( ]' w6 b$ {4 e
, ]0 Y" R4 S" f3 a" X! l# n( s+ [! _9 ?filebeat.inputs:
  - type: filestream
; v( k+ L0 V- t6 R$ z- v    id: my-filestream-id
8 m( K8 [' L4 D2 l* x: l    enabled: true
  h' u7 J) _* V8 L    paths:
/ P& J) ?9 [% n- b$ r* H# \- M      - /app/logs/info.log
    parsers:
      - ndjson:
. }  z6 e; i; {- f- u2 X          keys_under_root: true
          overwrite_keys: true
; H+ m$ M. _0 o, q
6 R; T6 {: f: h4 ^setup.template.name: "tn_springboot"
setup.template.pattern: "idx_springboot"
( C8 x: ^& M; J) asetup.template.overwrite: true
setup.template.settings:
2 r" f9 m* }5 C( X+ W. X. K1 g  index.lifecycle.name: "pn_springboot"
  index.number_of_replicas: 0
& n( [: C! a9 o7 m9 e( ^/ x
* n1 o' i& g: ]output.elasticsearch:
" |) n5 t0 C2 r# @5 Y  hosts: ["http://172.16.211.21:9200"]
  username: "elastic"
  password: "elastic"
; h9 i% w" }. ^3 c  index: "idx_springboot"

2 X% Q% G3 }, H8 i. S
# M4 i- Y+ H5 ^1 A& \, q- |6 g

admin

例：filebeat-7.12.1-2023.05.16-000001索引文件
/ o% |3 K8 V! k: g6 B- f2 z
" R  K. J& Y( F) w7 }) x' `索引创建规则
9 S5 g" {5 m  a: a! c& S
默认使用es的索引声明周期策略

index lifecycle management (ILM) 生成索引

配置ILM
8 N0 K( [5 @, G, |. Z1 Z5 i8 J6 h# ?/ j
#auto false true
setup.ilm.enabled: auto
#索引别名
% q& ]/ K4 R0 @$ Psetup.ilm.rollover_alias: "filebeat"
0 l- g8 X' h4 H* D" ], ?- K#索引增加策略
setup.ilm.pattern: "{now/d}-000001"
setup.ilm.enabled默认值auto，自动使用es中filebeat生命周期策略创建索引

7 @  i6 Q$ t$ ^% B- T# M5 U+ Z( L. psetup.ilm.rollover_alias默认值filebeat-%{[agent.version]} ，创建索引时指定索引别名。

2 h. E/ T* \: b: L, `& u/ [setup.ilm.pattern默认值%{now/d}-000001，索引rollover增加策略。
+ w- t* J4 @" Z% h/ f3 L
% h8 t1 n; u7 I2 |. B自动生成的索引名就是使用alias+pattern。类似filebeat-7.12.1-2023.05.16-000001这种。