数据收集之Filebeat（三）

logstash本身就可以具有文件数据采集的功能了，为什么还需要在前面加一层filebeat？理由如下： 
logstash是使用Java编写，插件是使用jruby编写，并且会开启jvm，对机器的资源要求会比较高，在logstash中做数据的逻辑过滤已经很吃服务器性能了(即logstash 具有filter功能，能过滤分析日志)。为了分摊当前服务器cpu资源，所以将filebeat作为单独组件，放在待收集日志的服务器上使用。

使用filebeat的优点

 

 

 

Filebeat组成与原理
Filebeat由两个主要组成部分组成：prospector(探勘者)和 harvesters(矿车)。这些组件一起工作来读取文件并将事件数据发送到指定的output。 
prospector: 负责找到所有需要进行读取的数据源
harvesters：负责读取单个文件的内容，并将内容发送到output中，负责文件的打开和关闭。
Filebeat工作原理
Filebeat可以保持每个文件的状态，并且频繁地把文件状态从注册表里更新到磁盘。这里所说的文件状态是用来记录上一次Harvster读取文件时读取到的位置，以保证能把全部的日志数据都读取出来，然后发送给output。如果在某一时刻，作为output的ElasticSearch或者Logstash变成了不可用，Filebeat将会把最后的文件读取位置保存下来，直到output重新可用的时候，快速地恢复文件数据的读取。在Filebaet运行过程中，每个Prospector的状态信息都会保存在内存里。如果Filebeat出行了重启，完成重启之后，会从注册表文件里恢复重启之前的状态信息，让FIlebeat继续从之前已知的位置开始进行数据读取。
Filebeat用途
为什么要用filebeat来收集日志？为什么不直接用logstash收集日志？
因为logstash是jvm跑的，资源消耗比较大，启动一个logstash就需要消耗500M左右的内存（这就是为什么logstash启动特别慢的原因），而filebeat只需要10来M内存资源。常用的ELK日志采集方案中，大部分的做法就是将所有节点的日志内容通过filebeat发送到logstash，logstash根据配置文件进行过滤。然后将过滤之后的文件输送到elasticsearch中，通过kibana去展示。

适用于集群环境下，服务多，且部署在不同机器