1 前言

一个问题，一篇文章，一出故事。
由于Filebeat支持直接与Elasticsearch集群连接而收集日志，因此本章整理此实现步骤。

2 最佳实践

2.1 环境信息

2.1.1 主机信息

Host Name = elasticsearch[01-03].cmdschool.org
IP Address = 10.168.0.[100 – 102] OS = Oracle Linux 9.x x86_64
Elasticsearch Version = 8.11.3
另外，如果你需要部署Elasticsearch集群环境，请参阅以下文档，

如何基于Oracle Linux 9.x部署Elasticsearch集群？

Host Name = kibana.cmdschool.org
OS = Oracle Linux 9.x x86_64
IP Address = 10.168.0.99
另外，如果你需要部署Ekibana集群环境，请参阅以下文档，

如何基于Oracle Linux 9.x部署Kibana？

Host Name = filebeat.cmdschool.org
OS = Oracle Linux 9.x x86_64
IP Address = any
另外，如果你需要部署Filebeat环境，请参阅以下文档，

如何基于Oracle Linux 9.x部署Filebeat？

2.2.2 配置名称解析

In All,

vim /etc/hosts

加入如下配置，

10.168.0.100 elasticsearch01 elasticsearch01.cmdschool.org
10.168.0.101 elasticsearch02 elasticsearch02.cmdschool.org
10.168.0.102 elasticsearch03 elasticsearch03.cmdschool.org
10.168.0.99 kibana kibana.cmdschool.org

注：以上配置仅用于测试，正式环境请使用DNS代替

2.3 配置Filebeat

2.3.1 修改配置文件

cp /etc/filebeat/filebeat.yml /etc/filebeat/filebeat.yml.default
vim /etc/filebeat/filebeat.yml

配置修改如下，

filebeat.inputs:
- type: filestream
  id: filebeat.cmdschool.org
  enabled: true
  paths:
    - /var/log/maillog
filebeat.config.modules:
  path: ${path.config}/modules.d/*.yml
  reload.enabled: false
setup.template.settings:
  index.number_of_shards: 3
setup.kibana:
  host: "kibana.cmdschool.org:5601"
output.elasticsearch:
  hosts: ["http://elasticsearch01:9200", "http://elasticsearch02:9200", "http://elasticsearch03:9200"]
output.elasticsearch.index: "filebeat-%{[agent.version]}-%{+YYYY.MM.dd}"
setup.template.name: "filebeat-%{[agent.version]}-%{+YYYY.MM.dd}"
setup.template.pattern: "filebeat-%{[agent.version]}-%{+YYYY.MM.dd}"
setup.dashboards.index: "filebeat-*"
processors:
  - add_host_metadata: ~

然后，你可以运行以下命令测试配置，