如何强制重建文件5中的日志数据

Question

我有文件记录5.x船运日志到logstash。

如何重置文件节拍中的“文件指针”？

这是一个类似于

• 如何强制Logstash对文件进行重新分析？
• https://discuss.elastic.co/t/how-do-i-reset-the-file-pointer-in-filebeats/49440

我清理了所有elasticsearch的数据，删除了/var/lib/filebeat/registry。但是filebeat只是在运送新的航线。

更改文件无效，该文件的偏移量保存到新文件(删除文件是相同的问题) filebeat.registry_file: registry

Answer 1

1. 停止服务。
2. 重命名寄存器文件--通常可以在/var/lib/file节拍/注册表中找到
3. 开始服务。

数多服务文件停止 mv /var/lib/file节拍/注册表/var/lib/file节拍/Regiy.old 数独服务文件启动

Answer 2

File节拍代理将其状态的全部存储在注册表文件中。应该使用filebeat.registry_file配置选项在配置文件中设置注册表文件的位置。

我建议在此选项中指定一个绝对路径，以便您知道文件的确切位置。如果使用相对路径，则该值将相对于${path.data}目录进行解释。在Linux安装上，当作为服务启动或使用filebeat.sh包装启动时，path.data被设置为/var/lib/filebeat。

删除此注册表文件后，File节拍将从一开始就开始读取所有文件(除非您已经用tail_files: true配置了探矿器)。

如果您继续遇到问题，我建议查看File耗散日志文件，该文件将包含一行，说明注册表文件的位置。例如：

2017/01/18 18:51:31.418587 registrar.go:85: INFO Registry file set to: /var/lib/filebeat/registry

Answer 3

如前所述，停止文件节拍服务、删除注册表文件并重新启动服务是正确的。

我只是想为Windows添加一些内容，如果您还没有为filebeat.registry_file指定一个唯一的位置，那么它很可能默认为${path.data}/registry，这在某种程度上混淆了Elastic上的人员所提到的C:\ProgramData\filebeat目录。

在我的例子中，我必须在显示隐藏文件之前显示它。