CentOS Filebeat日志輪轉設置方法

在CentOS系統上配置Filebeat的日志輪轉可以通過以下兩種主要方式實現：使用系統的 logrotate 工具或通過Filebeat自身的配置。以下是詳細的配置方法：

使用logrotate工具進行日志輪轉

1. 安裝logrotate（如果尚未安裝）：

   sudo yum install logrotate
   

2. 創建或編輯logrotate配置文件：

   • 為Filebeat的日志文件創建一個新的logrotate配置文件，或者將其包含在一個通用的配置文件中。通常，Filebeat的日志文件位于 /var/log/filebeat/filebeat.log。
   • 創建一個新的配置文件：

     sudo vi /etc/logrotate.d/filebeat
     

   • 或者編輯現有的配置文件，例如 /etc/logrotate.d/syslog，并添加Filebeat的配置：

     /var/log/filebeat/filebeat {
       daily rotate 7
       compress
       delaycompress
       missingok
       notifempty
       create 640 root adm
       postrotate
         if [ -f /var/run/filebeat/filebeat.pid ]; then
           kill -USR1 $(cat /var/run/filebeat/filebeat.pid)
         fi
       endscript
     }
     

3. 解釋配置項：

   • daily: 每天輪轉一次日志。
   • rotate 7: 保留最近7天的日志文件。
   • compress: 壓縮舊的日志文件。
   • delaycompress: 延遲壓縮，直到下一次輪轉。
   • missingok: 如果日志文件丟失，不會報錯。
   • notifempty: 如果日志文件為空，不進行輪轉。
   • create 640 root adm: 創建新的日志文件時設置權限和所有者。
   • postrotate 和 endscript: 在輪轉日志后執行的腳本。這里發送USR1信號給Filebeat進程，通知它重新打開日志文件。

4. 測試logrotate配置：

   sudo logrotate -f /etc/logrotate.d/filebeat
   

   這將強制執行一次日志輪轉，并顯示處理的結果。

5. 確保logrotate定時任務運行：

   • logrotate通常由cron的daily任務自動運行。你可以檢查 /etc/cron.daily/logrotate 文件，確保它存在并且沒有被禁用。

通過Filebeat自身的配置實現日志輪轉

1. 編輯Filebeat配置文件：

   • 打開Filebeat的配置文件 /etc/filebeat/filebeat.yml：

     sudo vi /etc/filebeat/filebeat.yml
     

2. 添加日志輪轉配置：

   • 在 filebeat.inputs 部分添加以下內容：

     filebeat.inputs:
       - type: log
         enabled: true
         paths:
           - /var/log/filebeat/*.log
         fields:
           log_type: filebeat
           json.keys_under_root: true
           json.add_error_key: true
           ignore_older: 7d
     

   • 這里的 ignore_older: 7d 配置表示忽略7天以前的日志文件。

3. 重啟Filebeat服務：

   sudo systemctl restart filebeat
   

通過以上兩種方法，你可以在CentOS系統上成功配置Filebeat的日志輪轉策略。