filebeat安装配置

一、安装

[root@jumpserver tools]# wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-6.4.0-x86_64.rpm
[root@jumpserver tools]# rpm -ivh filebeat-6.4.0-x86_64.rpm 

#查看安装内容
[root@jumpserver tools]# rpm -ql filebeat-6.4.0
/etc/filebeat/fields.yml                     
/etc/filebeat/filebeat.reference.yml        
/etc/filebeat/filebeat.yml                   => 配置文件
/etc/init.d/filebeat                         => 启动脚本
/lib/systemd/system/filebeat.service         => systemctl也可以启动
/usr/bin/filebeat                            => filebeat命令
....

 二、配置

配置文件默认是/etc/filebeat/filebeat.yml，可以参考filebeat.reference.yml 和/etc/filebeat/filebeat.yml ，配置文件支持正则表达式，官方文档（https://www.elastic.co/guide/en/beats/filebeat/6.2/regexp-support.html）

配置格式为：

#global filebeat configuration options
tags: ["10.0.3.199"]                
max-procs: 1                        

#Configure inputs
filebeat.inputs:
- type: log
  paths:                          => 日志路径，支持正则
    - /var/log/httpd/*log
  fields:                         => 输出日志中添加额外的字段，用于日志过滤
    service: httpd_log            => httpd_log 为自定义字段， logstash的输出可以看到
  fields_under_root: true         => 自定义字段在第一行，不会被覆盖

#Configure the output
output.logstash:                  => 这里输出到logstash
  hosts: ["10.0.3.60:5044"]       => logstash主机 IP + Port
  compression_level: 0            => 0表示不进行压缩，压缩级别有0-9

官网下载地址
https://www.elastic.co/cn/downloads/beats/filebeat

官方文档：
https://www.elastic.co/guide/en/beats/filebeat/current/filebeat-getting-started.html#filebeat-getting-started