CentOS下Filebeat如何實現實時監控

在CentOS系統下，要實現Filebeat的實時監控，可以按照以下步驟進行配置和操作：

1. 安裝Filebeat

首先，確保你的CentOS系統已經安裝了Filebeat。如果還沒有安裝，可以通過以下命令進行安裝：

sudo yum install filebeat

2. 配置Filebeat

Filebeat的配置文件通常位于 /etc/filebeat/filebeat.yml。你需要編輯這個文件來指定要監控的文件或目錄。

示例配置

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/*.log
  ignore_older: 72h

output.elasticsearch:
  hosts: ["localhost:9200"]
  index: "filebeat-%{+yyyy.MM.dd}"

在這個示例中，Filebeat會監控 /var/log/ 目錄下的所有日志文件，并將數據發送到本地的Elasticsearch實例。

3. 啟動和啟用Filebeat服務

安裝完成后，啟動Filebeat服務并設置為開機自啟：

sudo systemctl start filebeat
sudo systemctl enable filebeat

4. 驗證Filebeat運行狀態

你可以通過以下命令檢查Filebeat的運行狀態：

sudo systemctl status filebeat

5. 實時監控

Filebeat默認會實時發送日志數據到Elasticsearch。你可以通過Kibana或其他可視化工具來實時查看和分析這些數據。

使用Kibana查看日志

1. 確保Kibana已經安裝并運行。
2. 打開Kibana的Web界面（通常是 http://<your_kibana_host>:5601）。
3. 創建一個新的索引模式，匹配Filebeat發送的數據索引（例如 filebeat-*）。
4. 在Kibana的Discover頁面，你可以看到實時更新的日志數據。

6. 高級配置

如果你需要更高級的配置，例如日志文件的滾動處理、字段提取等，可以在 filebeat.yml 文件中進行相應的配置。

示例：日志文件滾動處理

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/*.log
  ignore_older: 72h
  close_inactive: 1m
  processors:
    - add_fields:
        targets: ["log"]
        fields:
          log_file: "{[agent.version]}_{[agent.type]}_{[beats.version]}"

在這個示例中，Filebeat會在日志文件關閉后1分鐘內發送數據，并添加一些自定義字段。

通過以上步驟，你可以在CentOS系統下實現Filebeat的實時監控，并利用Elasticsearch和Kibana進行數據分析和可視化。