elk 4：filebeat 收集日志到es和logstash

一、前言

Beats是轻量级和开放源代码日志发送程序的集合，这些日志发送程序充当安装在基础结构中不同服务器上的代理，用于收集日志或指标。现代架构中有不少使用beats代替logstash做日志收集的，因为他更轻量，关于es的query和logstash 的更重要的grok 在之后的文章会重新整理。

二、Filebeat 收集日志到es

filebeat 顾名思义是根据文件收集，本地是windows环境，只需要更改目录下的 filebeat.yml

# 输入
filebeat.inputs:
- type: log
  enabled: true
  paths:
    - E:\filebeat-7.8.0-windows-x86_64\logs\*.log

# 指定索引的分区数
setup.template.settings:
  index.number_of_shards: 3

# 输出到指定ES的配置
output.elasticsearch:
  hosts: ["localhost:9200"]
  protocol: "http"
  username: "elastic"
  password: "changeme"

新建一个start.bat 填入,然后启动

filebeat -e -c filebeat.yml 

三、Filebeat 收集日志到logstash

更改filebeat配置文件 filebeat.yml ，并重启

output.logstash:
  hosts: ["localhost:5044"]

更改logstash 配置文件，然后重启

input {
  beats {
    port => 5044
  }
}
output {
  stdout { codec => rubydebug }
  elasticsearch {
    hosts =>"localhost:9200"
    index => "filebeat-logstash-%{+YYYY.MM.dd}"
    user => "elastic"
    password => "changeme"
  }   
}

-end-