CentOS中Filebeat的日志輪轉策略

在CentOS系統中，Filebeat的日志輪轉策略可以通過兩種主要方式實現：使用系統級的 logrotate 工具，或者通過Filebeat自身的配置。以下是詳細的設置步驟：

使用 logrotate 工具進行日志輪轉

1. 安裝 logrotate（如果尚未安裝）：

   sudo yum install logrotate
   

2. 創建或編輯 logrotate 配置文件：

   • 創建一個新的配置文件：

     sudo vi /etc/logrotate.d/filebeat
     

   • 或者編輯現有的配置文件，例如 /etc/logrotate.d/syslog，并添加Filebeat的配置。

3. 配置 logrotate： 在打開的配置文件中，添加以下內容：

   /var/log/filebeat/filebeat {
       daily rotate 7
       compress
       delaycompress
       missingok
       notifempty
       create 640 root adm
       postrotate
           if [ -f /var/run/filebeat/filebeat.pid ]; then
               kill -USR1 $(cat /var/run/filebeat/filebeat.pid)
           fi
       endscript
   }
   

   解釋：

   • daily: 每天輪轉日志。
   • rotate 7: 保留最近7個日志文件。
   • compress: 壓縮舊的日志文件。
   • delaycompress: 延遲壓縮，直到下一次輪轉。
   • missingok: 如果日志文件不存在，不會報錯。
   • notifempty: 如果日志文件為空，不進行輪轉。
   • create 640 root adm: 創建新的日志文件，權限為640，屬主為root，屬組為adm。
   • postrotate 和 endscript：在輪轉日志后執行的腳本。這里發送USR1信號給Filebeat進程，通知它重新打開日志文件。

4. 測試 logrotate 配置： 你可以手動測試 logrotate 配置是否正確：

   sudo logrotate -f /etc/logrotate.d/filebeat
   

   這將強制執行一次日志輪轉，并顯示處理的結果。

5. 設置 logrotate 定時任務： logrotate 通常由cron的daily任務自動運行。你可以檢查 /etc/cron.daily/logrotate 文件，確保它存在并且沒有被禁用。

通過Filebeat自身的配置實現日志輪轉

1. 編輯Filebeat配置文件： 打開Filebeat的配置文件 /etc/filebeat/filebeat.yml：

   sudo vi /etc/filebeat/filebeat.yml
   

2. 添加日志輪轉配置： 在 filebeat.inputs 部分添加以下內容：

   filebeat.inputs:
   - type: log
     enabled: true
     paths:
     - /var/log/filebeat/*.log
     fields:
       log_type: filebeat
       json.keys_under_root: true
       json.add_error_key: true
     ignore_older: 7d
   

   這個配置表示將Filebeat的日志輸出到 /var/log/filebeat/filebeat.log 文件中，每天創建一個新的日志文件，每個文件最大為100MB，最多保留5個文件。

3. 重啟Filebeat服務： 使配置生效：

   sudo systemctl restart filebeat
   

注意事項

• 確保Filebeat的日志文件路徑正確。
• 根據實際需求調整日志保留天數和壓縮策略。
• 定期檢查日志輪轉配置是否生效。

通過以上方法，你可以在CentOS系統中成功配置Filebeat的日志輪轉。