ELK-------（四）Filebeat日志采集器的部署

1 Filebeat的简介

（1）Beats和filebeat

filebeat是Beats中的一员，Beats是一个轻量级日志采集器，Beats家族有6个成员，早期的ELK架构中使用Logstash收集、解析日志，但是Logstash对内存、cpu、io等资源消耗比较高。相比Logstash，Beats所占系统的CPU和内存几乎可以忽略不计。

目前Beats包含六种工具：

Packetbeat：网络数据（收集网络流量数据）
Metricbeat：指标（收集系统、进程和文件系统级别的CPU和内存使用情况等数据）
Filebeat：日志文件（收集文件数据）
Winlogbeat：windows事件日志（收集Windows事件日志数据）
Auditbeat：审计数据（收集审计日志）
Heartbeat：运行时间监控（收集系统运行时的数据）

（2）Filebeat的原理

Filebeat是用于转发和集中日志数据的轻量级传送工具。Filebeat监视指定的日志文件或位置，收集日志事件，并将它们转发到Elasticsearch或 Logstash进行索引。

Filebeat的工作方式如下：启动Filebeat时，它将启动一个或多个输入，这些输入将在为日志数据指定的位置中查找。对于Filebeat所找到的每个日志，Filebeat都会启动收集器。每个收集器都读取单个日志以获取新内容，并将新日志数据发送到libbeat，libbeat将聚集事件，并将聚集的数据发送到为Filebeat配置的输出。

2 部署filebeat

（1）安装filebeat

rpm -ivh filebeat-7.6.1-x86_64.rpm

（2）编辑配置文件： vim /etc/filebeat/filebeat.yml

• es的主机ip和监听的端口号

（3）启动服务：systemctl start filebeat.service

（4）在浏览器端查看

3 自定义显示日志的名字

• 修改配置文件（server4）： vim /etc/filebeat/filebeat.yml

#-------------------------- Elasticsearch output ------------------------------
setup.template.name: "server4"
setup.template.pattern: "server4-*"
setup.ilm.enabled: false
output.elasticsearch:
#  # Array of hosts to connect to.
  hosts: ["172.25.12.1:9200"]
  index: "server4-%{+yyyy.MM.dd}"

• 重启服务： systemctl restart filebeat.service