Filebeat 是一个轻量级的日志收集器，用于将日志数据从源传输到如 Elasticsearch 或 Logstash 等存储和分析系统。在 CentOS 上配置 Filebeat 以实现日志过滤，通常涉及以下几个步骤：
安装 Filebeat:
首先，你需要在 CentOS 上安装 Filebeat。你可以从 Elastic 官方网站下载最新的 Filebeat 版本，或者使用包管理器如 yum 或 dnf 来安装。
sudo yum install filebeat
配置 Filebeat:
安装完成后，你需要编辑 Filebeat 的配置文件，通常位于 /etc/filebeat/filebeat.yml。
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
exclude_lines: ['^DEBUG', '^INFO'] # 排除掉不需要的日志级别
# 添加处理器来过滤日志
processors:
- add_fields:
targets: ["message"]
fields:
type: "my_custom_log_type"
- drop_fields:
fields: ["field_to_drop"] # 删除不需要的字段
output.elasticsearch:
hosts: ["localhost:9200"]
在 filebeat.inputs 部分，你可以指定要收集的日志文件路径，并使用 exclude_lines 参数来排除不需要的日志行。
在 processors 部分，你可以添加自定义字段或删除不需要的字段。例如，add_fields 处理器可以向事件中添加新的字段，而 drop_fields 处理器可以删除事件中的字段。
启动 Filebeat: 配置完成后，你可以启动 Filebeat 服务。
sudo systemctl start filebeat
你也可以设置 Filebeat 开机自启：
sudo systemctl enable filebeat
验证配置: 启动 Filebeat 后，你可以检查 Filebeat 的状态来确保它正在运行并且没有错误。
sudo systemctl status filebeat
你还可以查看 Filebeat 的日志文件，通常位于 /var/log/filebeat/filebeat，来获取更多信息。
请注意，上述配置只是一个基本的示例。Filebeat 提供了许多其他配置选项，包括日志文件的字段提取、多行日志处理、模块等，这些都可以帮助你更精确地控制日志过滤和收集过程。你可能需要根据你的具体需求调整配置。
