[filebeat]采集docker日志

Filebeat的工作原理：启动Filebeat时，它会启动一个或多个inputs，这些inputs将查找指定的log的路径。对于查找到的每个日志，Filebeat将启动一个harvester。每个harvester读取单个日志的新内容，并将新日志数据发送到libbeat，libbeat聚合事件并将聚合数据发送到配置的output。

# filebeat.docker.yml

# 配置input参数
filebeat.inputs:
# 类型选择docker
- type: docker
  # 容器ID使用'*'代替，表示获取所有容器
  containers.ids:
    - '*'
  
  # 配置处理器
  processors:
   # 添加docker元数据
    - add_docker_metadata: ~

# 直接输出到es
output.elasticsearch:
  hosts: ["172.30.1.35:9200"]

image.png