如何通过修改Filebeat配置文件轻松实现日志收集与处理的优化？

：为什么要改造 Filebeat 配置？

在 Kubernetes 集群中，日志元数据缺失收集异常日志量爆炸是使用者最常碰到的痛点。通过精准地修改 filebeat.yml可以：

• 为每条日志自动注入 Pod、Namespace、Labels 等关键信息。
• 避免因旧文件或无效行导致的 CPU/IO 高占用。
• 实现对海量容器日志的高效过滤与转发，降低带宽消耗。

一、Filebeat 安装与配置文件定位

1. 常见安装方法

不同安装方式对应的默认配置文件位置如下：

# yum / apt 安装
/etc/filebeat/filebeat.yml
# 二进制解压
/opt/filebeat/conf/filebeat.yml

2. 快速验证配置文件是否存在

# 查看文件方法
sudo find / -name filebeat.yml 2>/dev/null
# 打开编辑
sudo vi /etc/filebeat/filebeat.yml

二、主要输入配置——解决“日志采集不全”痛点

1. Container 输入

Filebeat 的 container 输入会扫描 /var/log/containers/*.log但这些文件仅包含原始容器输出，需要借助处理器注入元数据。