filebeat输出结果到elasticsearch的多个索引

filebeat输出结果到elasticsearch的多个索引
基本环境：
filebeat版本：6.5.4 (Linux,x86-64)
elasticsearch版本：6.54

（一）需求说明
在一台服务器上有多个日志需要使用filebeat日志收集到elasticsearch中，以便于查看。对于收集方法，主要有2种：

将同一台服务器上的日志收集到elasticsearch的同一个索引中，这种方式存在一个较大的问题，如果服务器上有多个业务在运行，产生了多个日志，那么将会被收集到elasticsearch的同一个索引中，如图1。
将同一台服务器上的日志收集到elasticsearch的不同索引中，每个索引都存放相关业务的日志，如图2。

很明显，图2的日志输出是我们想要的，因为它将不同的日志放到了不同的索引中。

（二）解决方案
在使用filbeat收集日志输出到elasticsearch数据库时，可以使用indices参数来配置不同的日志输出到不同的索引中，官方文档及其配置例子如下：

（三）实际测试
（3.1）输入存在fields_under_root: true选项
使用filebeat对3个日志testa.log、testb.log、testc.log进行数据抓取，要求：

testa.log日志的数据存放到testa-log索引中
testb.log日志的数据存放到testb-log索引中
其它(非testa.log和testb.log)的日志数据存放到test-other-log索引中

filebeat输入配置如下：

输出配置如下：

最终测试成功。

这里附一份完整的filebeat配置文件：
View Code

（3.2）输入不存在fields_under_root: true选项
filebeat输入配置如下：

输出配置如下：

这里附一份完整的filebeat配置文件：
View Code

其它说明：为什么需要特别注意fields_under_root参数
fields_under_root参数定义如下：

如果值为ture，那么fields存储在输出文档的顶级位置，如果与filebeat中字段冲突，自定义字段会覆盖其他字段
如果值为false或者未设置，那么fields存储在输出文档的子位置。

如下：
（1）fields_under_root：true
此时在filebeat的input部分定义的字段log_topics是一个顶级字段。

（2）fields_under_root：false或者未设置
此时在filebeat的input部分定义的字段log_topics是fields字段的子字段。