elasticsearch - Filebeat 收获旋转文件

Question

问题描述：

我有相对较大的/var/log/messages文件被旋转。文件列表如下所示：

ls -l /var/log/messages*
-rw-------. 1 root 928873050 Mar  5 10:37 /var/log/messages
-rw-------. 1 root 889843643 Mar  5 07:49 /var/log/messages.1
-rw-------. 1 root 890148183 Mar  5 07:50 /var/log/messages.2
-rw-------. 1 root 587333632 Mar  5 07:51 /var/log/messages.3

我的 filebeat 配置片段：

filebeat.prospectors:
  - input_type: log
    paths:
      - /var/log/messages
      - /var/lib/ntp/drift
      - /var/log/syslog
      - /var/log/secure
    tail_files: True

使用多个/var/log/messages*文件，如上所示，每次重新启动 filebeat 时，它都会开始收集和摄取旧的日志文件。当我只有一个/var/log/messages文件时，不会观察到此问题。

标签： elasticsearchfilebeatelk

Answer 1

似乎系统日志和安全插件在配置中处于打开状态。这触发了旋转的系统日志文件的加载。