背景:基于上篇我部署好filebeat之后,发现filebeat读取的数据都会打入到同一个索引下面
这种肯定不行的,最起码也要按照日期有区分,或者不同数据源也要有区分的,所以我对yml文件做了补充大家参考一下:
这里是分了两份数据源,每个数据源打上独有的标签“H001”或者“H002”
上面框住的三个配置是方便系统抛异常报错之后,很多行信息合并成一条log
下面框住的配置各有用处:
# 允许自动生成index模板 setup.template.enabled: true # # 生成index模板时字段配置文件 setup.template.fields: fields.yml # # 如果存在模块则覆盖 setup.template.overwrite: true # # 生成index模板的名称 setup.template.name: "zheng_log" # # 生成index模板匹配的index格式 setup.template.pattern: "zheng-*" setup.ilm.enabled: auto # 这里一定要注意 会在alias后面自动添加-* setup.ilm.rollover_alias: "park-ssm" setup.ilm.pattern: "{now/d}" # # 生成kibana中的index pattern,便于检索日志 #setup.dashboards.index: myfilebeat-7.0.0-* #filebeat默认值为auto,创建的elasticsearch索引生命周期为50GB+30天。如果不改,可以不用设置 setup.ilm.enabled: false
根据filebeat读取的信息上面的“H001”或者“H002”打入不同的索引里面
推荐一个很细致的讲解:filebeat自定义索引名,filebeat索引模板 - 郭大侠1 - 博客园 (cnblogs.com)