我如何在Filebeat 5中强制重建日志的数据

Question

我有filebeats 5.x将日志发送到logstash。

如何重置Filebeat中的“文件指针”

这是一个类似的问题

• 如何强制Logstash重新解析文件？
• https://discuss.elastic.co/t/how-do-i-reset-the-file-pointer-in-filebeats/49440

我清理了所有elasticsearch的数据，删除了/var/lib/filebeat/registry。但是filebeat仅提供新产品。

更改registry_file无效，将文件的偏移量保存到新文件（删除文件是同样的问题） filebeat.registry_file: registry

Answer 1

Filebeat代理将其所有状态存储在注册表文件中。注册表文件的位置应使用filebeat.registry_file配置选项在配置文件中设置。

我建议在此选项中指定一个绝对路径，以便您确切知道文件的位置。如果使用相对路径，则将相对于${path.data}目录解释该值。在Linux安装上，当作为服务启动或使用filebeat.sh包装程序启动时，path.data设置为/var/lib/filebeat。

删除此注册表文件后，Filebeat将从头开始读取所有文件（除非您使用配置了探矿器）tail_files: true。

如果您仍然遇到问题，建议您查看Filebeat日志文件，该文件将包含一行说明注册表文件所在位置的行。例如：

2017/01/18 18:51:31.418587 registrar.go:85: INFO Registry file set to: /var/lib/filebeat/registry

Answer 2

1. 停止filbeat服务。
2. 重命名注册文件-通常在/ var / lib / filebeat / registry中
3. 启动filbeat服务。

sudo服务filbeat停止

mv / var / lib / filebeat / registry /var/lib/filebeat/registry.old

sudo服务filbeat启动

Answer 3

正如这里已经提到的，停止 filebeat 服务、删除注册表文件并重新启动服务是正确的。

我只是想为 Windows 用户添加一点，如果您没有为 指定唯一的位置filebeat.registry_file，它可能会默认为Elastic 人员提到的${path.data}/registry有点令人困惑的目录。C:\ProgramData\filebeat

就我而言，我必须在显示隐藏文件之前先显示它。