如何在CentOS上自定義Filebeat的日志輸出格式

在CentOS上自定義Filebeat的日志輸出格式，可以通過修改Filebeat的配置文件來實現。以下是詳細步驟：

1. 找到Filebeat配置文件： Filebeat的配置文件通常位于/etc/filebeat/filebeat.yml。你可以使用以下命令來編輯這個文件：

   sudo vi /etc/filebeat/filebeat.yml
   

2. 自定義日志輸出格式： 在filebeat.yml文件中，找到或添加output.elasticsearch部分，并在其中定義日志輸出格式。你可以使用fields字段來添加自定義字段，或者使用fields_under_root字段來將自定義字段放在根級別。

   例如，如果你想添加一個名為custom_field的自定義字段，可以這樣做：

   filebeat.inputs:
   - type: log
     enabled: true
     paths:
       - /var/log/*.log
   
   output.elasticsearch:
     hosts: ["localhost:9200"]
     index: "filebeat-%{+yyyy.MM.dd}"
     fields:
       custom_field: "my_custom_value"
   

   如果你想將自定義字段放在根級別，可以這樣做：

   filebeat.inputs:
   - type: log
     enabled: true
     paths:
       - /var/log/*.log
   
   output.elasticsearch:
     hosts: ["localhost:9200"]
     index: "filebeat-%{+yyyy.MM.dd}"
     fields_under_root: true
     fields:
       custom_field: "my_custom_value"
   

3. 保存并退出編輯器： 保存對filebeat.yml文件的修改并退出編輯器。如果你使用的是vi編輯器，可以按Esc鍵，然后輸入:wq并按回車鍵。

4. 重啟Filebeat服務： 為了使配置生效，需要重啟Filebeat服務。你可以使用以下命令來重啟Filebeat：

   sudo systemctl restart filebeat
   

5. 驗證配置： 你可以通過查看Elasticsearch中的索引來驗證自定義字段是否已成功添加。使用以下命令查看索引：

   curl -X GET "localhost:9200/_cat/indices?v&pretty"
   

   然后查看特定索引的文檔，確認自定義字段是否存在：

   curl -X GET "localhost:9200/filebeat-*/_search?pretty" -H 'Content-Type: application/json' -d'
   {
     "query": {
       "match_all": {}
     },
     "_source": true
   }
   '
   

通過以上步驟，你就可以在CentOS上自定義Filebeat的日志輸出格式了。