在CentOS上自定義Filebeat的日志采集規則，可以通過修改Filebeat的配置文件filebeat.yml來實現。以下是詳細的步驟：
安裝Filebeat： 如果你還沒有安裝Filebeat，可以使用以下命令進行安裝：
sudo yum install filebeat
找到并編輯Filebeat配置文件：
Filebeat的配置文件通常位于 /etc/filebeat/filebeat.yml。你可以使用以下命令打開它：
sudo vi /etc/filebeat/filebeat.yml
定制日志處理規則：
在 filebeat.yml 文件中，你可以定義多個 processors 來處理日志。以下是一些常見的處理器配置示例：
添加字段： 你可以在日志事件中添加自定義字段。例如：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
processors:
- add_fields:
fields:
custom_field: "custom_value"
output.elasticsearch:
hosts: ["localhost:9200"]
過濾日志：
使用 dissect 或 grok 處理器來解析和過濾日志。例如：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
processors:
- dissect:
tokenizer: '%{timestamp} %{loglevel} %{message}'
field: "message"
target_prefix: ""
output.elasticsearch:
hosts: ["localhost:9200"]
丟棄特定日志：
使用 drop_fields 或 drop_event 處理器來丟棄不需要的日志。例如：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
processors:
- drop_fields:
fields: ["tag", "beat", "source"]
output.elasticsearch:
hosts: ["localhost:9200"]
保存并退出配置文件：
在 vi 編輯器中，按 Esc 鍵，然后輸入 :wq 并按回車鍵保存并退出。
重啟Filebeat服務： 為了使配置生效，你需要重啟Filebeat服務：
sudo systemctl restart filebeat
驗證配置： 你可以使用以下命令查看Filebeat的日志，以確保配置正確并且沒有錯誤：
sudo journalctl -u filebeat -f
通過以上步驟，你可以在CentOS上定制Filebeat的日志處理規則。根據你的具體需求，可以添加更多的處理器和配置選項。
