# Filebeat 設定
###### tags: `其它技術`

Filebeat是用於轉發和集中 log 的輕量級傳輸工具。
Filebeat 監聽指定的 log 文件或位置，收集 log 事件，並將它們轉發到 Eleasticsearch 或 Logstash 方便搜尋。

## 建議設定的參數
* close_inactive: 10m
如果檔案在多久的時間沒有新資料就會關閉 harvester (依最後一筆資料進入的時間點為基準)，如果超過 close_inactive 時間後再有資料進入，則會重新開啟一個 harvester 進行收集，所以 close_inactive 通常不建議設定太短，但也不要太長，建議不超過30m。

* close_removed: true
如果檔案被 remove 後，則關閉 harvester，預設啟用，但是如果 logrotate 機制是先 rename 再 delete 的話，close_removed 就無法作用。

## 參考網址
[一篇文章搞懂filebeat（ELK）](https://www.cnblogs.com/zsql/p/13137833.html)
[Filebeat harvester 的 file handler close 與 clean 機制](https://shazi.info/filebeat-harvester-%E7%9A%84-file-handler-close-%E8%88%87-clean-%E6%A9%9F%E5%88%B6/)