如何用Filebeat收集CentOS日志

要使用Filebeat在CentOS上收集日志，請按照以下步驟操作：

1. 安裝Elastic Stack（以前稱為ELK Stack）：

   首先，您需要在CentOS上安裝Elasticsearch、Logstash和Kibana。訪問Elastic官方網站（https://www.elastic.co/downloads/elasticsearch）下載適用于CentOS的Elasticsearch和Kibana安裝包。然后，按照官方文檔中的說明進行安裝。

2. 安裝Filebeat：

   訪問Elastic官方網站（https://www.elastic.co/downloads/beats/filebeat）下載適用于CentOS的Filebeat安裝包。然后，按照官方文檔中的說明進行安裝。

3. 配置Filebeat：

   在安裝完成后，找到Filebeat的安裝目錄（通常位于/usr/share/filebeat），并打開filebeat.yml配置文件。在這個文件中，您可以指定要收集的日志文件和日志路徑。

   例如，如果您想要收集/var/log/messages和/var/log/secure這兩個日志文件，可以在filebeat.yml文件中添加以下內容：

   filebeat.inputs:
   - type: log
     enabled: true
     paths:
       - /var/log/messages
       - /var/log/secure
   

   如果您想要收集特定類型的日志，可以使用processors選項來過濾日志。例如，如果您只想要收集包含"ERROR"關鍵字的日志，可以添加以下內容：

   processors:
   - add_fields:
       when:
         contains:
           message: "ERROR"
       fields:
         log_level: "error"
   

4. 啟動Filebeat：

   在配置好Filebeat之后，您可以使用以下命令啟動Filebeat服務：

   sudo systemctl start filebeat
   

   要使Filebeat在系統啟動時自動運行，請執行以下命令：

   sudo systemctl enable filebeat
   

5. 驗證Filebeat是否正常工作：

   您可以通過訪問Kibana的Web界面（通常位于http://<your_elasticsearch_ip>:5601）來驗證Filebeat是否正常工作。在Kibana中，轉到"Management" > “Stack Management” > “Index Patterns”，查看是否有與Filebeat相關的索引模式。如果有，說明Filebeat已經成功收集了日志并將其發送到Elasticsearch。

通過以上步驟，您應該已經成功地在CentOS上使用Filebeat收集了日志。根據您的需求，您可以進一步自定義Filebeat的配置，以滿足特定的日志收集和分析需求。