为什么重新安装Filebeat知道以前的日志已经加载到Elasticsearch

Question

以前，我通过logstash将日志数据加载到Elasticsearch，然后我想再试一次。因此，我重新安装了File节拍，并清空了Elasticsearch数据，然后尝试通过Filebeat重新加载日志数据到Elasticsearch。尽管Elasticsearch数据存储已被清空，但File节拍已经知道数据已经加载了一次。Filebeat是如何知道以前加载了日志数据的？如果我想再次加载所有日志数据，我应该做什么？

Answer 1

您需要清除registry_file，以便清除读取文件的“历史记录”。

要更改registry_file的默认配置，只需在配置文件(filebeat.yml)：file中指定完整的配置路径

例如：

filebeat:
  registry_file: /var/lib/filebeat/registry