ubuntu filebeat怎樣實現日志輪轉

在Ubuntu系統中，Filebeat本身不負責日志輪轉。日志輪轉通常由logrotate工具來處理。但是，你可以配置Filebeat以與logrotate協同工作，確保日志文件在達到一定大小或時間間隔后被正確輪轉和處理。

以下是如何在Ubuntu上配置Filebeat和logrotate以實現日志輪轉的步驟：

1. 安裝Filebeat: 如果你還沒有安裝Filebeat，可以通過以下命令安裝：

   sudo apt-get update
   sudo apt-get install filebeat
   

2. 配置Filebeat: 編輯Filebeat的配置文件，通常位于/etc/filebeat/filebeat.yml，以確保它指向你想要監控的日志文件。例如：

   filebeat.inputs:
   - type: log
     enabled: true
     paths:
       - /var/log/*.log
   

3. 安裝和配置logrotate: logrotate通常已經預裝在Ubuntu系統中。你可以檢查/etc/logrotate.d/目錄下是否有相關的配置文件。如果沒有，你可以創建一個新的配置文件來管理Filebeat日志文件的輪轉。

   創建一個新的logrotate配置文件，例如/etc/logrotate.d/filebeat，并添加以下內容：

   /var/log/filebeat/*.log {
       daily
       missingok
       rotate 7
       compress
       notifempty
       create 0640 root adm
   }
   

   這個配置將會每天輪轉日志文件，保留最近7天的日志，并對舊日志進行壓縮。notifempty選項表示如果日志文件為空，則不進行輪轉。create選項定義了新日志文件的權限和所有者。

4. 測試logrotate配置: 你可以手動測試logrotate配置是否正確，使用以下命令：

   sudo logrotate -f /etc/logrotate.d/filebeat
   

   這個命令會強制執行一次日志輪轉，即使日志文件可能還沒有達到輪轉的條件。

5. 確保Filebeat重新打開日志文件: logrotate在輪轉日志時會重命名當前的日志文件，并創建一個新的空日志文件。為了讓Filebeat重新打開這些新的日志文件，你需要確保Filebeat配置中啟用了close_inactive選項，并且設置了一個合適的close_inactive時間間隔。例如：

   filebeat.inputs:
   - type: log
     enabled: true
     paths:
       - /var/log/*.log
     close_inactive: 5m
   

   這個設置會讓Filebeat在日志文件不活躍5分鐘后關閉并重新打開它們，這樣Filebeat就能開始寫入新的日志文件。

確保你的Filebeat和logrotate配置正確無誤后，你的日志輪轉應該就能正常工作了。記得定期檢查日志輪轉的狀態，以確保一切按預期進行。