Filebeat是一個輕量級的日志收集工具，用于從本地文件中讀取日志數據，并將這些數據轉發到下游系統如Logstash或Elasticsearch。在Ubuntu上，Filebeat的工作原理主要包括以下幾個步驟：
配置：Filebeat通過配置文件（通常是filebeat.yml）定義要收集的日志文件路徑、輸出目標和其他相關設置。
啟動：啟動Filebeat時，它會讀取配置文件并啟動一個或多個prospector，每個prospector負責監控指定的日志文件路徑。
Harvester：對于每個由prospector發現的日志文件，Filebeat會啟動一個harvester。harvester負責讀取日志文件的內容，并將讀取到的數據發送到libbeat。
數據傳輸：libbeat是Filebeat的核心組件，負責聚合從各個harvester接收到的事件，并將聚合后的數據發送到配置的輸出目標。
狀態管理：Filebeat會記錄每個文件的狀態，包括讀取的偏移量，以確保在重啟后能夠從上次離開的位置繼續讀取日志，實現斷點續傳。
至少一次交付：Filebeat保證每個事件至少被傳遞到配置的輸出一次，即使在傳輸過程中發生中斷，也會在重啟后重新發送未確認的事件，確保數據的完整性。
輸出：Filebeat支持的輸出目標包括Elasticsearch、Logstash、Kafka等，可以將日志數據發送到這些系統進行進一步處理和分析。
Filebeat的設計使其非常適合在大量服務器上部署，它的輕量級和高效性使得對系統資源的占用非常小，適合監控和故障排查等場景。
