filebeat centos如何鉴权

在 CentOS 上，Filebeat 本身的“鉴权”通常不是指登录鉴权，而是指：

• Filebeat 访问 Elasticsearch / Logstash 时的身份认证
• Filebeat 采集受权限保护的日志文件时的系统权限
• 使用 API Key / 用户名密码 / TLS 客户端证书 做鉴权

下面按常见场景说明（CentOS 7/8 通用）。

一、Filebeat 访问 Elasticsearch 的鉴权

1️⃣ 用户名 + 密码（最常用）

/etc/filebeat/filebeat.yml

output.elasticsearch:
  hosts: ["https://es.example.com:9200"]
  username: "filebeat_writer"
  password: "your_password"

⚠️ 不建议用 elastic 超级用户，建议创建专用角色

创建专用用户（在 ES 中）：

bin/elasticsearch-users useradd filebeat_writer \
  -p password \
  -r filebeat_writer

2️⃣ API Key 鉴权（推荐）

output.elasticsearch:
  hosts: ["https://es.example.com:9200"]
  api_key: "id:api_key"

生成 API Key：

curl -X POST "https://es:9200/_security/api_key" \
  -u elastic:password \
  -H "Content-Type: application/json" \
  -d '{
    "name": "filebeat-key",
    "role_descriptors": {
      "filebeat_writer": {
        "cluster": ["monitor","read_ilm"],
        "index": ["write","create_index","index"]
      }
    }
  }'

3️⃣ TLS + 客户端证书鉴权

output.elasticsearch:
  hosts: ["https://es.example.com:9200"]
  ssl.certificate: "/etc/filebeat/certs/filebeat.crt"
  ssl.key: "/etc/filebeat/certs/filebeat.key"
  ssl.certificate_authorities: ["/etc/filebeat/certs/ca.crt"]

二、Filebeat 访问 Logstash 的鉴权

1️⃣ 用户名密码

output.logstash:
  hosts: ["logstash.example.com:5044"]
  username: "filebeat"
  password: "password"

Logstash 侧需要开启：

input {
  beats {
    port => 5044
    ssl => true
    ssl_certificate => "..."
    ssl_key => "..."
  }
}

2️⃣ TLS 客户端证书

output.logstash:
  hosts: ["logstash.example.com:5044"]
  ssl.certificate: "/etc/filebeat/certs/filebeat.crt"
  ssl.key: "/etc/filebeat/certs/filebeat.key"
  ssl.certificate_authorities: ["/etc/filebeat/certs/ca.crt"]

三、Filebeat 读取系统日志的“鉴权”

1️⃣ 使用 root 运行（默认）

CentOS 上 Filebeat 默认以 root 运行：

ps -ef | grep filebeat

可读取：

• /var/log/messages
• /var/log/secure

2️⃣ 非 root 用户读取日志（权限问题）

例如读取 /var/log/audit/audit.log：

usermod -aG adm filebeat
usermod -aG systemd-journal filebeat

或修改日志权限（不推荐直接改）：

chmod 644 /var/log/audit/audit.log

四、Filebeat 模块鉴权（如 Kafka / Redis）

Kafka 示例（SASL）

output.kafka:
  hosts: ["kafka:9092"]
  username: "filebeat"
  password: "password"
  sasl.mechanism: "PLAIN"

五、CentOS 上常见安全问题

✅ 配置文件权限：

chmod 600 /etc/filebeat/filebeat.yml
chown root:root /etc/filebeat/filebeat.yml

✅ 禁用匿名访问 ES
✅ 使用 firewall 限制 5044 / 9200 端口

六、总结（选哪种？）

如果你能告诉我：

• Filebeat → ES 还是 Logstash？
• CentOS 版本
• 是否启用了 ES 安全（xpack）

我可以给你一份可直接用的配置文件。