ELK日志检索系统--FileBeat配置说明

0. FileBeat使用说明

FileBeat是一个日志收集器，基于Logstash-Forwarder的源代码。FileBeat一般以代理的身份运行在服务器中，并监视用户指定的目录、文件，同时把日志文件更新部分推送给Logstash解析或者直接推送给ES索引。

FileBeat的工作方式：
当FileBeat在服务器上启动后，它同时启动一个或者多个prospectors来监视用户指定的日志文件目录。
prospectors然后针对每个日志文件，都启动一个harvester，每一个harvester监视一个文件的新增内容，并把新增内容送到spooler中。然后spooler来汇总这些events事件。然后把这些事件传送给logstash或者es。

1. FileBeat的安装

FileBeat的使用与ES、Logstash基本一样，从官方网站下载*.tar.gz文件，然后解压。添加配置文件，然后就可以运行了。

deb:

curl -L -O https://download.elastic.co/beats/filebeat/filebeat_1.3.1_amd64.deb
sudo dpkg -i filebeat_1.3.1_amd64.deb

rpm:

curl -L -O https://download.elastic.co/beats/filebeat/filebeat-1.3.1-x86_64.rpm
sudo rpm -vi filebeat-1.3.1-x86_64.rpm

如果用rpm或者deb的安装包，配置文件的位置在：/etc/filebeat/filebeat.yml