使用filebeat日志收集到elasticsearch服务器上

admin

filebeat是轻量级日志收集框架，go语言开发。需要在每个日志收集的终端部署，配置日志文件路径。可以将日志收集到es，logstash，这里以收集到elasticsearch为例。配置主要分为input和output两块。解压后有filebeat.yml配置文件，主要针对该文件进行配置。
# D  d& ~: \8 U7 [
- type: log
0 H, X! h- t/ J- D#日志文件位置
) K6 {$ n  r9 l8 ^: Q, W4 |, E  paths:
    - /data/logs/*/*.log
! _" b1 ?, U  C; G9 i% q  houtput.elasticsearch:
  #es连接信息
  hosts: ["localhost:9200"]
  protocol: "http"
  username: "elastic"
  password: "888888"
0 f9 v+ n) n8 g2 f# H+ A5 l会自动创建一个 "filebeat-%{[agent.version]}-%{+yyyy.MM.dd}-%{index_num}"



例子：

! y' Y0 j6 B* c9 a: mvim  /etc/filebeat/filebeat.yml
  V1 s; ^4 f' x( N1 s% f" \
filebeat.inputs:
- type: log
   enabled: true
   paths:
    - /var/log/messages
1 H- l+ i! p$ `8 `8 i   tags: ["messages"]
   fields_under_root: true
+ b# Y2 P# t7 r0 Y, T! X) I+ b
- type: log
   enabled: true
+ V' R' m8 @/ G, R' G+ z+ M( h   paths:
. z0 `0 k- J0 x1 h0 v3 a" v    - /var/log/nova/nova-compute.log
   tags: ["nova-compute"]
   fields_under_root: true
& m0 |( l) c: K0 `' E
# m5 h$ Z6 C* U3 h/ F/ V5 u - type: log
   enabled: true
   paths:
2 N, Y. @. }0 K/ G8 X    - /var/log/nova/nova-manage.log
# T/ i5 t* v5 E& G0 O9 @: B   tags: ["nova-manage"]
0 Z" H' d/ C: n3 }9 M5 g   fields_under_root: true
  ^0 f) s- U- d. J
5 B" R1 x1 ~% L# o7 J: X/ F - type: log
% q+ \; K& a( E* r   enabled: true
+ J' J# {0 |, e2 a9 g   paths:
1 S% o: y( O- L- O) Q- j    - /var/log/nova/scheduler.log
$ q' B. g! R/ Q: S# n% }   tags: ["scheduler"]
9 G, W2 x$ ~2 h2 b   fields_under_root: true
! u; g6 o& Q6 g; V1 q# Q+ n
+ ?/ J) i3 |! Q. a9 }8 R - type: log
- o$ r$ g( b: i" U3 u* L   enabled: true
   paths:
$ N6 G3 |7 ^& ^* V, G    - /var/log/nova/conductor.log
) o) W# ]: p  ?3 \, ^   tags: ["conductor"]
! i. f8 v1 s  z0 \   fields_under_root: true
- a$ r( Q! }) b4 \& n1 n
: C( o4 i8 d- H1 F - type: log
   enabled: true
   paths:
    - /var/log/nova/cert.log
   tags: ["cert"]
   fields_under_root: true
0 s/ ~; L5 p; m) \8 }+ @
- type: log
, w5 l8 X; n# t1 @   enabled: true
   paths:
    - /var/log/nova/consoleauth.log
& @; D/ V& r& Z+ P- G+ p, }+ L' v/ v   tags: ["consoleauth"]
   fields_under_root: true

' ]+ v) z  ?& }' A3 ? - type: log
" s7 u: O( U& e$ h   enabled: true
   paths:
! A9 Z5 ^/ Q5 E    - /var/log/nova/nova-novncproxy.log
9 r1 V  R/ G! M8 T% [$ s* c1 V   tags: ["nova-novncproxy"]
   fields_under_root: true

  `' S' S( N( e# } - type: log
4 D2 h/ A2 @! ?: J* Y   enabled: true
   paths:
    - /var/log/rabbitmq/rabbit*.log
   tags: ["rabbit"]
+ ?6 S# e& z* H% c/ |   fields_under_root: true

- type: log
# o  M- Y5 I/ o# n: }9 X8 R   enabled: true
) P7 ?' X# k/ S) v# l. E   paths:
    - /var/log/glance/*.log
   tags: ["glance"]
   fields_under_root: true

- type: log
   enabled: true
* v0 B8 Z; U/ `   paths:
    - /var/log/neutron/openvswitch-agent.log
" W1 W; t: u2 Z5 T8 X8 ]   tags: ["openvswitch-agent"]
   fields_under_root: true

- type: log
2 X( t& D1 `) l   enabled: true
   paths:
/ ~: D5 ~/ l% K" {    - /var/log/kuryr/kuryr-controller.log
   tags: ["kuryr-controller"]
! h  Q3 w7 V' p( D5 ]# R' O   fields_under_root: true
0 U6 ^" E4 X' a. l, Y" V
- type: log
   enabled: true
   paths:
" c) d. d5 @2 a$ i! }& r8 a( a    - /var/log/keystone/keystone.log
   tags: ["keystone"]
   fields_under_root: true

2 J7 }+ k: d; H0 N; Uoutput.elasticsearch:
. x, E2 F# C& B# V  hosts: ["172.24.110.12:9200", "172.24.110.12:9200"]
  username: elastic
  password: xxxxxxx
  indices:
    - index: "compute_messages-error-%{[agent.version]}-%{+yyyy.MM.dd}"
      when:
        or:
          - contains:
              tags: "messages"
              message: "err"
          - contains:
) y$ U5 z1 P8 d( N, W              tags: "messages"
% }8 O$ O. H% _0 [9 Y9 z/ i              message: "ERR"
' Y2 {- C! f" Q2 ^2 f# c+ F9 i          - contains:
              tags: "messages"
& i8 I- @8 J' @9 m              message: "fail"
    - index: "compute_messages-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
        tags: "messages"
- @: ]) q  V$ ~  @) n    - index: "compute_nova-compute-error-%{[agent.version]}-%{+yyyy.MM.dd}"
' M, |: g7 I0 x+ }4 T% d) F  t      when:
! I6 ?1 I) y' }$ {- |7 d' }) [$ v3 [        or:
          - contains:
. T+ n% i$ b0 Z              tags: "nova-compute"
              message: "err"
          - contains:
% o, E3 G& {5 A2 g5 H% {* \8 [              tags: "nova-compute"
              message: "ERR"
6 r6 K9 G, {' G9 W8 @  e2 D          - contains:
              tags: "nova-compute"
0 f+ \" c- g9 f9 }+ s& G              message: "fail"
    - index: "compute_nova-compute-%{[agent.version]}-%{+yyyy.MM.dd}"
1 k$ U) X8 T1 F, |+ Y      when.contains:
  ]5 F$ X  Y5 u9 j# H  l# t9 s        tags: "nova-compute"

    - index: "controller_nova-manage-error-%{[agent.version]}-%{+yyyy.MM.dd}"
      when:
        or:
          - contains:
# \3 j3 ^# @5 ~9 ?6 U              tags: "nova-manage"
              message: "err"
) P+ h/ E& i4 w& I          - contains:
              tags: "nova-manage"
# ?- [; L# Y  _2 d. G. d  \1 x              message: "ERR"
$ w1 l0 ^6 ~: [9 e& \: ]          - contains:
              tags: "nova-manage"
              message: "fail"
    - index: "controller_nova-manage-%{[agent.version]}-%{+yyyy.MM.dd}"
* t& N; _; d- a% q. O" X& A: K      when.contains:
        tags: "nova-manage"
) \4 P! @% Y7 M& w8 s  |
    - index: "controller_scheduler-error-%{[agent.version]}-%{+yyyy.MM.dd}"
! F& z6 _' f6 D4 c- y/ e& |      when:
        or:
          - contains:
              tags: "scheduler"
* B8 ^# L2 q$ j( Z" U/ F* Y              message: "err"
          - contains:
              tags: "scheduler"
. C$ P, ~! D7 o8 R: c; p; N              message: "ERR"
          - contains:
              tags: "scheduler"
8 i. U6 y/ ]4 b3 w2 P# G6 R) O              message: "fail"
6 I& N9 r+ y6 s* I    - index: "controller_scheduler-%{[agent.version]}-%{+yyyy.MM.dd}"
% W- x4 D  l9 @0 c      when.contains:
4 H' s* \* s, H  c3 S        tags: "scheduler"

    - index: "controller_conductor-error-%{[agent.version]}-%{+yyyy.MM.dd}"
# m& Q6 v" [6 N( p* Y) d      when:
; G4 X, l; L$ G3 \; W        or:
" b0 c$ d: F8 M0 C          - contains:
* g# c8 i6 K/ I              tags: "conductor"
              message: "err"
$ C' P$ A1 M# D' P0 a          - contains:
              tags: "conductor"
. a. n) `& a0 O+ J              message: "ERR"
          - contains:
5 Z0 K1 U+ q$ w2 T9 p  J              tags: "conductor"
              message: "fail"
    - index: "controller_conductor-%{[agent.version]}-%{+yyyy.MM.dd}"
5 ?7 B* d3 H# J, N! W9 M      when.contains:
        tags: "conductor"

/ A- Y# J7 J, ]4 ^% c; Q3 `/ }    - index: "controller_cert-error-%{[agent.version]}-%{+yyyy.MM.dd}"
      when:
        or:
) ]/ D3 T  C8 U0 m          - contains:
              tags: "cert"
              message: "err"
          - contains:
5 `2 H6 G! [% l% r" F- ^              tags: "cert"
              message: "ERR"
9 R4 ?! q+ L9 c, R  y          - contains:
              tags: "cert"
3 x. T7 F; S, G3 ?              message: "fail"
) x. `# r. B# S/ N& V    - index: "controller_cert-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
        tags: "cert"

9 l+ G( j7 W+ s1 c0 ]7 B, v& Z# T    - index: "controller_consoleauth-error-%{[agent.version]}-%{+yyyy.MM.dd}"
) W& P$ ?( t% h      when:
! R. p5 X. l+ h& B  @        or:
' k) g' @# H$ a+ e  ]- J0 q& Y          - contains:
. {1 _% j; q" H, ?% |) L1 Z              tags: "consoleauth"
5 S6 o& D. a( @% H; x9 m              message: "err"
- r0 D( p2 b8 n          - contains:
              tags: "consoleauth"
              message: "ERR"
          - contains:
* N' i- s8 q5 x              tags: "consoleauth"
) n' c% ~- y+ s+ G, t              message: "fail"
    - index: "controller_consoleauth-%{[agent.version]}-%{+yyyy.MM.dd}"
0 c# W, {: a$ [; t$ o      when.contains:
        tags: "consoleauth"
6 _# J2 g2 j1 U' _: {
* `2 A7 o5 x  a2 @    - index: "controller_nova-novncproxy-error-%{[agent.version]}-%{+yyyy.MM.dd}"
      when:
" H7 u4 p" F3 ]        or:
          - contains:
/ f% m# C" h1 Z4 U; r3 z              tags: "nova-novncproxy"
# z9 |6 c, j+ ~9 B8 }8 x              message: "err"
          - contains:
2 `- T, b- K" i0 c              tags: "nova-novncproxy"
              message: "ERR"
) _8 X+ h+ W  {) H' Z' g          - contains:
) Y- r1 A" D9 Y# r, F              tags: "nova-novncproxy"
              message: "fail"
    - index: "controller_nova-novncproxy-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
, V4 y4 U2 @, @        tags: "nova-novncproxy"
& ?1 V1 \1 @7 D7 r3 l
: e! r, ^: l& q2 ?0 X6 m( j. _' n% o, a    - index: "controller_rabbit-error-%{[agent.version]}-%{+yyyy.MM.dd}"
# Y7 K. s$ P3 G9 b, E% U4 g; @      when:
        or:
3 h+ P' i6 ]/ P3 [  t7 x          - contains:
4 y: ^. D3 B7 x              tags: "rabbit"
              message: "err"
/ ]' ]  a$ b8 E  a6 r' |" j          - contains:
# G% _/ q: l! t. [3 I2 {& W4 [              tags: "rabbit"
              message: "ERR"
2 T7 s+ S4 h: G1 y          - contains:
7 G6 M% K$ Q, ]0 Q5 w7 A) N              tags: "rabbit"
              message: "fail"
: }. k1 N- Q. \, r4 Z# q" f    - index: "controller_rabbit-%{[agent.version]}-%{+yyyy.MM.dd}"
' S! e( u9 }. N      when.contains:
        tags: "rabbit"
) A8 Q5 z& r; W9 ~* D6 g2 S
    - index: "controller_glance-error-%{[agent.version]}-%{+yyyy.MM.dd}"
( k0 J+ n, K0 S0 k      when:
        or:
          - contains:
" z5 p7 A6 g0 \, _2 Z              tags: "glance"
8 ?; R9 H5 h5 u# h7 {' r              message: "err"
          - contains:
              tags: "glance"
              message: "ERR"
  _! L2 D1 H+ N% J          - contains:
              tags: "glance"
              message: "fail"
    - index: "controller_glance-%{[agent.version]}-%{+yyyy.MM.dd}"
! k9 W" q; D9 c1 J" k+ `      when.contains:
/ K9 A: U' M) T- h# ^5 D5 r" A        tags: "glance"

    - index: "controller_openvswitch-agent-error-%{[agent.version]}-%{+yyyy.MM.dd}"
' I; G) A: Q+ y4 T% C; |7 v+ K      when:
5 K2 v7 R' F5 N5 A0 r        or:
          - contains:
              tags: "openvswitch-agent"
! Z+ ]( V+ V: R+ j- o0 ^0 q              message: "err"
! o. G- M$ L' }+ {: k1 F# m5 A          - contains:
              tags: "openvswitch-agent"
              message: "ERR"
          - contains:
              tags: "openvswitch-agent"
9 e# `  O7 ?- [+ R7 x              message: "fail"
& S0 h/ `* @, E" X% E/ j4 G; J    - index: "controller_openvswitch-agent-%{[agent.version]}-%{+yyyy.MM.dd}"
( r  F+ W2 v( ]& z6 H+ g& r      when.contains:
        tags: "openvswitch-agent"

6 i; f- M( N% y( \6 ?' \    - index: "controller_kuryr-controller-error-%{[agent.version]}-%{+yyyy.MM.dd}"
8 Q2 t( b8 V4 o% `& Z, \      when:
+ i- c2 ]/ f3 ~: T4 K: j8 ?        or:
          - contains:
              tags: "kuryr-controller"
9 k1 R% e; g- c. G              message: "err"
          - contains:
0 N* z8 q' b- B3 f              tags: "kuryr-controller"
              message: "ERR"
          - contains:
              tags: "kuryr-controller"
              message: "fail"
    - index: "controller_kuryr-controller-%{[agent.version]}-%{+yyyy.MM.dd}"
; L8 ]6 @! a7 ~' j) {. f0 e4 C      when.contains:
8 ^+ D; H- g2 X        tags: "kuryr-controller"
  z/ g: ]0 E2 W! i7 A5 k: w" x
2 t; j; E+ Y5 c0 B, j7 y    - index: "controller_keystone-error-%{[agent.version]}-%{+yyyy.MM.dd}"
8 l! Z# a& w9 v" G: r      when:
        or:
4 ~, p) G# z8 i% n# M* w, A. Q. t2 n          - contains:
              tags: "keystone"
0 y7 o1 l! b7 C              message: "err"
* Y( r# C% W4 c% Y- K* {) j# _          - contains:
              tags: "keystone"
  w6 d9 B! G, D" c8 `# E              message: "ERR"
0 L2 h0 S6 Z! i8 U, n& I0 K0 |" \          - contains:
              tags: "keystone"
% S1 Z9 v) ^8 N- X- u  p              message: "fail"
( W0 v: D, g- L7 P7 J- {; x    - index: "controller_keystone-%{[agent.version]}-%{+yyyy.MM.dd}"
3 ^: U  e5 u7 Y  n* @) q* n      when.contains:
        tags: "keystone"

2 b$ v: c% K9 V- xsetup.ilm.enabled: false
setup.template.name: system
1 ^" d1 O% y$ t! U# K$ \! f5 ^8 lsetup.template.pattern: system-*



# @$ L" o+ N2 w$ f% _
例：filebeat-7.12.1-2023.05.16-000001索引文件

索引创建规则
4 N+ H: `( N0 ~8 U2 f* [; R
默认使用es的索引声明周期策略

index lifecycle management (ILM) 生成索引

* E; O4 g& ]" g# I) _配置ILM

#auto false true
setup.ilm.enabled: auto
* |! h% a2 Z6 ?7 v, d: ]#索引别名
7 V/ Q6 T8 x% _6 asetup.ilm.rollover_alias: "filebeat"
4 Y/ {( X; D8 k) X" O#索引增加策略
  x) {0 E" `) P/ ?) b% @4 M( wsetup.ilm.pattern: "{now/d}-000001"
& s. d! z' U+ k, o9 }setup.ilm.enabled默认值auto，自动使用es中filebeat生命周期策略创建索引
# G' `, x$ _, t& x4 |
$ o7 w3 p( a1 b6 ]! bsetup.ilm.rollover_alias默认值filebeat-%{[agent.version]} ，创建索引时指定索引别名。

$ X# z  l- i; v. I3 r- j( d' q4 j. lsetup.ilm.pattern默认值%{now/d}-000001，索引rollover增加策略。

自动生成的索引名就是使用alias+pattern。类似filebeat-7.12.1-2023.05.16-000001这种。
9 D" I1 l" Q2 E5 g' W: Q
更多配置参考：https://www.elastic.co/guide/en/beats/filebeat/7.17/ilm.html
+ u  M* G9 P$ F; H! j! I4 j! t8 o
自定义索引文件
* I% D1 P! w1 {, B" I# w
output.elasticsearch可以指定index，使用自定义索引第一步就是要关闭ILM,
9 f3 f  f) a, B: C6 [$ Y5 p, k
setup.ilm.enabled: false
下一步要配置setup.template.name和setup.template.pattern

3 ?* d. V! D: B- ]% @$ Hsetup.template.name: "filebeat"
: R% {) j9 Y, E4 ?( P9 `, ~setup.template.pattern: "filebeat-*"
8 l3 s+ P8 e3 f4 e$ m' fsetup.template.overwrite: false
在output.elasticsearch指定index
4 u6 I- R+ \% H& @! p
index: "spring-%{[agent.version]}-%{+yyyy.MM.dd}"
) I: H! m# \5 W# h$ `% v2 _4 P5 w运行就会自动生成索引spring-7.12.1-2023.05.16。index定义可以使用上下文定义变量。可以在input里自定义field

fields:
    level: system
. M: C" J) r% y6 Q  a    region: A1
4 H% J+ _5 x) K0 m0 C自定义的fields会一并push到索引中，index中使用自定义的fields
9 e( z/ @. E! ]0 ]" H/ B) P" ?
index: "spring-%{[fields.region]}-%{[agent.version]}-%{+yyyy.MM.dd}"
会生成索引：spring-a1-7.12.1-2023.05.16。这里A1自动转成小写了。
* A- y* P$ y! `6 f4 B
  y  G/ p) _7 x+ e$ @8 E日志多行合并
$ S. b. x- t% H( ^' V  p
默认情况下收集日志一行一条记录，有些情况下比如格式化输出，异常栈。一条完整的日志会包含多行数据。这时候就需要配置多行匹配。配置项在filebeat.inputs里
9 ]( h+ |& v% \% I; Q
7 k6 f+ N$ Q- |2 @* C* ^' nmultiline.pattern: '^\['
2 Y* U# {" y" Rmultiline.negate: true
multiline.match: after
multiline.pattern指定日志匹配正则，这里'^['就是匹配以 [ 开头的行。这个地方的具体格式就要合实际输出的日志格式相匹配了。

negate和match两个参数结合使用，没太看懂，理解其来感觉有点绕，自己看官方演示例子吧https://www.elastic.co/guide/en/ ... iline-examples.html，有个表格图例。大体意思就是遇到不匹配的是向上合并还是向下合并，归属于那一条。这里配置true和after就是不匹配的格式行归属到上一个匹配的结果行。
" v1 l' A6 P% Z" @: r# T
根据条件写入不同索引

5 ~; ?1 Q9 H* `# y( Zoutput.elasticsearch:
  hosts: ["http://localhost:9200"]
  H+ y0 T# t/ I  indices:
    - index: "warning-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.contains:
        message: "WARN"
    - index: "error-%{[agent.version]}-%{+yyyy.MM.dd}"
0 f5 Y! ?5 }  u2 u$ W- e# |      when.contains:
        message: "ERR"

判断message内容，是否包含某些内容。不做演示。

收集到的日志可在kibana 日志功能界面化查看检索。需要配置日志索引匹配模式，例如上面的我们就需要新增匹配日志模式spring-*。
/ i  E0 b- j; B5 y
最后filebeat.yml有效配置大概这样

filebeat.inputs:
+ p( e1 z3 H' B7 {- type: log
  enabled: true
  paths:
8 r: ~5 Y3 j) v& X  ?1 ?9 ]( ?    - /data/logs/*/*.log
8 j1 {9 l$ e: m/ P" H
& B% @5 h( E5 Y& n. Y  fields:
    level: system
    region: A1

2 R4 c1 x" T0 B) g3 {. l  multiline.pattern: '^#\['
  multiline.negate: true
) z) E2 Q( f- z5 u" S& {" f  multiline.match: after

/ ~3 y9 w; }- G; moutput.elasticsearch:
; l7 G" e4 b  J* n( m# g! M  hosts: ["localhost:9200"]
0 `; r' l  `5 j- _) y  ~6 b6 o! K8 {  protocol: "http"
  username: "elastic"
  password: "888888"
  index: "spring-%{[fields.region]}-%{[agent.version]}-%{+yyyy.MM.dd}"

* g: q& v8 W' _4 T) vsetup.ilm.enabled: false
setup.template.name: "filebeat"
setup.template.pattern: "filebeat-*"
( ^. O  u  t8 tsetup.template.overwrite: false

' ~% N3 J. k2 X8 v
2 \$ L- W' ^8 O

admin

/app/logs/info.log日志文件为JSON格式
4 f/ M" n% Q" s  c2 ^& }8 m自定义索引生命周期名为：pn_springboot,可提前建好
( e& q* S8 i' R4 q2 g自定义索引名为：idx_springboot
' ^% W: T7 j7 g' ^; ^2 M& q. H自写义索引模板名为：tn_springboot

admin

filebeat配置会把所有的索引都放到同一个文件中，通过摸索发现可以自定义索引的名字、模板、生命周期

+ P+ o# Q" q" s4 G（重点注意）该配置文件只适应于ES版本是8，不适应于其他版本

/app/logs/info.log日志文件为JSON格式
/ `! L1 Y( q% T2 s7 H2 l& k自定义索引生命周期名为：pn_springboot,可提前建好
自定义索引名为：idx_springboot
自写义索引模板名为：tn_springboot
  @# `; j( `4 X  E+ {; s
* n0 Q' D  b) O/ oES8版本默认生成的是数据流，不是默认的索引，这么配置生成的数据流名称就是idx_springboot，
不是默认的filebeat了，如查索引发现生成长索引名是.ds-idx_springboot-2024.07.21-000001这种格式的，但我们配置视图时，选idx_springboot就行了
/ }, R& Y: n5 J, ^" n# M5 m
filebeat.inputs:
  - type: filestream
( n6 Z! v/ z9 e& p% u    id: my-filestream-id
    enabled: true
& d4 ?0 o0 W9 {# m" z. S' }    paths:
( `5 @% j, v" q$ g. d6 v" s) Q      - /app/logs/info.log
- W, a" T' e! r; ~4 s    parsers:
      - ndjson:
& Q8 k% b/ r, U# O% H5 F! M6 T          keys_under_root: true
          overwrite_keys: true
, `7 {5 d9 z. Z; X3 q6 ~
' F" q6 j) {" B8 vsetup.template.name: "tn_springboot"
setup.template.pattern: "idx_springboot"
setup.template.overwrite: true
' S4 u# ?* T/ H2 j  P( z  _setup.template.settings:
  index.lifecycle.name: "pn_springboot"
  index.number_of_replicas: 0
/ B$ A0 W* A: Q7 ^' _
! B. W9 p7 T' b8 F) t8 J5 Uoutput.elasticsearch:
  hosts: ["http://172.16.211.21:9200"]
3 a% W* g4 B! }; B2 H: {  username: "elastic"
  password: "elastic"
- J8 ?% i; }" e; ?( h! Z( Y  index: "idx_springboot"

3 }' F2 k3 q- F/ B) }
" v' B5 C3 ?  F9 J$ K! z$ n

admin

例：filebeat-7.12.1-2023.05.16-000001索引文件
9 z  r' Q( x3 C% |3 b
1 {  ?4 h" K; f* D索引创建规则

/ E/ \% m& y1 H; O$ x默认使用es的索引声明周期策略

index lifecycle management (ILM) 生成索引

配置ILM
* ~. z* i0 ^& N/ a$ n
#auto false true
setup.ilm.enabled: auto
1 L5 I' N0 _% X; t6 P, e( }, r& ?#索引别名
setup.ilm.rollover_alias: "filebeat"
#索引增加策略
6 G! `) Q% D# S; I9 Gsetup.ilm.pattern: "{now/d}-000001"
setup.ilm.enabled默认值auto，自动使用es中filebeat生命周期策略创建索引
7 D9 ^2 T+ ^6 X
) R  n9 z1 }7 z; a5 i5 N9 O7 gsetup.ilm.rollover_alias默认值filebeat-%{[agent.version]} ，创建索引时指定索引别名。
- H6 p  Q. [; X5 N9 [5 ?
setup.ilm.pattern默认值%{now/d}-000001，索引rollover增加策略。

自动生成的索引名就是使用alias+pattern。类似filebeat-7.12.1-2023.05.16-000001这种。