带x-pack的elasticsearch6.3.2如何配置filebeat ?

在使用Elasticsearch 6.3.2配合X-Pack以及Filebeat 6.3.2时，自动创建索引功能需要确保Elasticsearch的模板（index template）设置正确，同时Filebeat的配置要指向正确的输出和指定必要的索引信息。以下是一些基本的配置指导：

Elasticsearch 索引模板

1. 检查或创建索引模板：X-Pack自带了一些默认的模板，但你可能需要根据自己的需求调整或者创建新的模板。你可以通过Elasticsearch的API来查看或管理模板：

   GET _template
   

   如果你需要自定义模板，可以使用PUT命令创建或更新模板。例如，一个简单的模板可能如下所示：

   PUT _template/filebeat
   {
    "index_patterns": ["filebeat-*"],    // 匹配所有以filebeat-开头的索引
    "settings": {
      "number_of_shards": 1,
      "number_of_replicas": 1
    },
    "mappings": {
      "_doc": {                         // 根据你的Elasticsearch版本，可能需要使用不同的类型名称
        "properties": {
          "@timestamp": { "type": "date" },
          // 其他字段映射...
        }
      }
    }
   }
   

Filebeat 配置

1. 修改Filebeat配置文件：通常位于/etc/filebeat/filebeat.yml，确保配置了正确的输出到你的Elasticsearch集群，并且指定了索引名。

   # 输出配置
   output.elasticsearch:
    hosts: ["your_elasticsearch_host:9200"]  # 替换为你的Elasticsearch地址
    username: "elastic"                      # X-Pack安全认证用户名，如果启用
    password: "your_password"                # X-Pack安全认证密码，如果启用
   
   # 索引配置
   setup.template.name: "filebeat"            # 指定模板名称，应与Elasticsearch中一致
   setup.template.pattern: "filebeat-*"       # 索引模式匹配
   setup.template.enabled: true               # 启用自动加载模板
   setup.template.overwrite: false            # 是否覆盖现有模板，默认false，根据需要可设为true
   
   # 输入配置（如日志文件路径等），根据实际情况添加
   filebeat.inputs:
   - type: log
    enabled: true
    paths:
      - /var/log/*.log                     # 示例日志路径
   

2. 重启Filebeat服务：修改配置后，记得重启Filebeat服务让更改生效。

   sudo service filebeat restart
   

请根据你的具体需求调整上述配置示例中的参数。如果遇到问题，可以通过检查Elasticsearch和Filebeat的日志文件来获取更详细的错误信息，这通常能帮助定位问题所在。