如何配置Filebeat以实现日志轮转

配置Filebeat以实现日志轮转

想让Filebeat高效、稳定地处理日志，日志轮转是个绕不开的话题。它本身不直接负责切割日志，但和系统自带的轮转工具配合起来，效果相当不错。下面这套步骤，能帮你把这事儿理顺。

1. 安装Filebeat

第一步，自然是确保系统里已经装好了Filebeat。直接从Elastic官网下载最新版本，按官方指南安装就行，这里就不赘述了。

2. 配置Filebeat

核心配置都在/etc/filebeat/filebeat.yml这个文件里。我们需要动动这里，让它为日志轮转做好准备。

2.1 基本配置

首先，确保输入和输出的基础配置是没问题的。比如，一个典型的配置片段看起来是这样的：

filebeat.inputs:
- type: log
  enabled: true
  paths:
  - /var/log/*.log
output.elasticsearch:
  hosts: ["localhost:9200"]

这定义了Filebeat从哪里收集日志，以及发送到哪里。

2.2 日志轮转配置

重头戏来了。Filebeat的日志轮转，主要依靠系统的logrotate服务。我们需要为Filebeat自己的日志文件（注意，不是它收集的日志，是它运行时产生的日志）创建一个轮转规则。

操作很简单，在/etc/logrotate.d/目录下新建一个配置文件：

sudo nano /etc/logrotate.d/filebeat

然后，把下面这套规则放进去：

/var/log/filebeat/*.log {
    daily
    missingok
    rotate 7
    compress
    notifempty
    create 0640 root adm
}

这几个参数是什么意思呢？咱们拆开看看：

• daily：顾名思义，每天触发一次轮转。
• missingok：如果日志文件暂时找不到，别报错，跳过就行。
• rotate 7：保留最近7天的历史日志文件，更早的自动删除。
• compress：轮转后的旧日志会用gzip压缩，节省磁盘空间。
• notifempty：如果日志文件是空的，这次就不轮转了。
• create 0640 root adm：轮转后创建的新日志文件，权限、属主和属组都按这个来设置，保证Filebeat有权限继续写入。

3. 重启Filebeat

配置完成后，需要重启Filebeat服务让改动生效。根据你的系统管理方式，选一条命令执行：

sudo systemctl restart filebeat

或者，如果是使用旧的init.d系统：

sudo /etc/init.d/filebeat restart

4. 验证配置

重启之后，怎么知道有没有成功呢？去/var/log/filebeat/目录下看看就明白了。如果配置正确，你会看到类似filebeat.log、filebeat.log.1.gz这样的文件，这就说明日志正在按天轮转并压缩。

5. 监控和调试

万一没达到预期效果怎么办？别急，Filebeat把自己的运行日志也记录下来了，通常就在/var/log/filebeat/filebeat这个文件里。遇到问题，首先来这里看看，通常能找到线索。

按照上面这几个步骤走下来，给Filebeat配上日志轮转功能，基本就妥了。这样一来，既能避免日志文件无限膨胀拖慢系统，也方便后续的问题追溯和归档管理。