配置Filebeat以实现日志轮转
想让Filebeat高效、稳定地处理日志，日志轮转是个绕不开的话题。它本身不直接负责切割日志，但和系统自带的轮转工具配合起来，效果相当不错。下面这套步骤，能帮你把这事儿理顺。
1. 安装Filebeat
第一步，自然是确保系统里已经装好了Filebeat。直接从Elastic官网下载最新版本，按官方指南安装就行，这里就不赘述了。
2. 配置Filebeat
核心配置都在/etc/filebeat/filebeat.yml这个文件里。我们需要动动这里，让它为日志轮转做好准备。
2.1 基本配置
首先，确保输入和输出的基础配置是没问题的。比如，一个典型的配置片段看起来是这样的：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
output.elasticsearch:
hosts: ["localhost:9200"]这定义了Filebeat从哪里收集日志，以及发送到哪里。
2.2 日志轮转配置
重头戏来了。Filebeat的日志轮转，主要依靠系统的logrotate服务。我们需要为Filebeat自己的日志文件（注意，不是它收集的日志，是它运行时产生的日志）创建一个轮转规则。
操作很简单，在/etc/logrotate.d/目录下新建一个配置文件：
sudo nano /etc/logrotate.d/filebeat然后，把下面这套规则放进去：
/var/log/filebeat/*.log {
daily
missingok
rotate 7
compress
notifempty
create 0640 root adm
}这几个参数是什么意思呢？咱们拆开看看：
daily：顾名思义，每天触发一次轮转。missingok：如果日志文件暂时找不到，别报错，跳过就行。rotate 7：保留最近7天的历史日志文件，更早的自动删除。compress：轮转后的旧日志会用gzip压缩，节省磁盘空间。notifempty：如果日志文件是空的，这次就不轮转了。create 0640 root adm：轮转后创建的新日志文件，权限、属主和属组都按这个来设置，保证Filebeat有权限继续写入。
3. 重启Filebeat
配置完成后，需要重启Filebeat服务让改动生效。根据你的系统管理方式，选一条命令执行：
sudo systemctl restart filebeat或者，如果是使用旧的init.d系统：
sudo /etc/init.d/filebeat restart4. 验证配置
重启之后，怎么知道有没有成功呢？去/var/log/filebeat/目录下看看就明白了。如果配置正确，你会看到类似filebeat.log、filebeat.log.1.gz这样的文件，这就说明日志正在按天轮转并压缩。
5. 监控和调试
万一没达到预期效果怎么办？别急，Filebeat把自己的运行日志也记录下来了，通常就在/var/log/filebeat/filebeat这个文件里。遇到问题，首先来这里看看，通常能找到线索。
按照上面这几个步骤走下来，给Filebeat配上日志轮转功能，基本就妥了。这样一来，既能避免日志文件无限膨胀拖慢系统，也方便后续的问题追溯和归档管理。
