Metricbeat创建了大量的字段

Question

我在unix服务器上安装了metricbeat，它的映射生成了大量的字段。有没有办法让它们失效呢？我想要一个默认的索引，只创建映射的unix“系统”模块映射和窗口“窗口”模块映射。

在我的yml中，我只显示如下内容

metricbeat.modules:
- module: system
  period: 1m
  metricsets:
    - cpu
    - load
    - memory
    #- network
    - process
    - process_summary
    #- core
    #- diskio
    #- socket
  processes: ['.*']

- module: system
  period: 10m
  metricsets:
    - filesystem
    - fsstat
  processors:
  - drop_event.when.regexp:
      system.filesystem.mount_point: '^/(sys|cgroup|proc|dev|etc|host|lib)($|/)'

- module: system
  period: 15m
  metricsets:
    - uptime

谢谢。

Answer 1

默认情况下，如果启用了Elasticsearch输出，Metricbeat会自动加载推荐的模板文件fields.yml。因此，为了自定义您的字段，请编写一个包含所有必需字段的NewFieldsFile.yml文件，并将metricbeat.yml配置文件中的默认字段更改为：

setup.template.name: "your_template_name"
setup.template.fields: "path/to/NewFieldsFile.yml"

遵循这个官方文档，它包含了确切的答案，我希望它能帮助你：https://www.elastic.co/guide/en/beats/metricbeat/current/metricbeat-template.html

Answer 2

您可以自定义模块和字段。

有一些名为fields.yml的特定文件(一个全局文件，一个用于每个度量集)，您必须摆弄它。

详情请参考文档：

https://www.elastic.co/guide/en/beats/metricbeat/current/configuration-metricbeat.html

https://www.elastic.co/guide/en/beats/metricbeat/5.2/creating-metricbeat-module.html#_fields_yml_2