Filebeat: Lightweight Log Analysis ElasticSearch ELK Stack

Что такое Filebeat?

Filebeat — это легкий агент для отправки и централизованного управления логами. Он читает и отправляет логи из файлов в Elasticsearch или Logstash для анализа и визуализации. Filebeat помогает упростить процесс сбора и анализа логов из различных источников.

Для чего используется Filebeat?

Filebeat используется для сбора и отправки логов из различных файлов в централизованное хранилище. Он помогает:

• Автоматически собирать логи из файлов
• Отправлять логи в Elasticsearch или Logstash
• Упрощать анализ логов и мониторинг приложений
• Централизовать управление логами

Запуск Filebeat в Docker

Запуск Filebeat в Docker упрощает его развертывание и управление. Ниже приведены шаги по установке и настройке Filebeat в контейнере Docker.

Предварительные требования

• Установленный Docker
• Базовые знания о работе с Docker

Запуск контейнера Filebeat

Для запуска контейнера Filebeat, выполните следующую команду:

docker run \
  --name=filebeat \
  --user=root \
  --volume="$(pwd)/filebeat.yml:/usr/share/filebeat/filebeat.yml:ro" \
  --volume="/var/lib/docker/containers:/var/lib/docker/containers:ro" \
  --volume="/var/run/docker.sock:/var/run/docker.sock:ro" \
  docker.elastic.co/beats/filebeat:8.0.0

Пояснение параметров:

• --name=filebeat: имя контейнера.
• --user=root: запуск контейнера от имени root пользователя.
• --volume="$(pwd)/filebeat.yml:/usr/share/filebeat/filebeat.yml:ro": монтирует файл конфигурации filebeat.yml в контейнер. Замените $(pwd)/filebeat.yml на путь к вашему файлу конфигурации.
• --volume="/var/lib/docker/containers:/var/lib/docker/containers:ro": монтирует каталог контейнеров Docker для сбора логов.
• --volume="/var/run/docker.sock:/var/run/docker.sock:ro": монтирует сокет Docker для взаимодействия с контейнерами.

Пример файла конфигурации filebeat.yml

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/lib/docker/containers/*/*.log

output.elasticsearch:
  hosts: ["http://elasticsearch:9200"]

Пояснение конфигурации:

• filebeat.inputs: определяет входные данные, которые Filebeat должен собирать. В данном случае, это логи контейнеров Docker.
• output.elasticsearch: указывает на отправку данных в Elasticsearch.

Запуск Filebeat с использованием Docker Compose

Также вы можете использовать Docker Compose для управления контейнером Filebeat. Пример файла docker-compose.yml:

version: '2.2'
services:
  filebeat:
    image: docker.elastic.co/beats/filebeat:8.0.0
    container_name: filebeat
    user: root
    volumes:
      - ./filebeat.yml:/usr/share/filebeat/filebeat.yml:ro
      - /var/lib/docker/containers:/var/lib/docker/containers:ro
      - /var/run/docker.sock:/var/run/docker.sock:ro

Запуск контейнера с помощью Docker Compose:

docker-compose up -d

Заключение

Filebeat является мощным инструментом для централизованного управления логами. Использование Docker упрощает его развертывание и управление. Следуя приведенным инструкциям, вы сможете легко настроить и запустить Filebeat в своей инфраструктуре.