windows 2008 R2 filebeat安装配置

filebeat 是基于原先 logstash-forwarder 的源码改造出来的。换句话说：filebeat 就是新版的 logstash-forwarder，也会是 Elastic Stack 在 shipper 端的第一选择。

1.安装

到官网下载安装包

https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-5.6.0-windows-x86_64.zip

解压好后放到Client服务器的C:\Program file\下

使用系统powershell(2008系统自带powershell，低于2008的机器就要自己安装了)进行安装，安装完成会生成一个名为filebeat的服务。

PS C:\Program Files\filebeat> .\install-service-filebeat.ps1
无法加载文件 C:\Program Files\filebeat\install-service-filebeat.ps1，因为在此系统中禁止执行脚本。有关详细信
get-help about_signing"。
所在位置 行:1 字符: 31
+ .\install-service-filebeat.ps1 <<<<
    + CategoryInfo          : NotSpecified: (:) [], PSSecurityException
    + FullyQualifiedErrorId : RuntimeException

安装会有报错，由于powershell是不允许执行任何可执行脚本的，所以这里需要调整策略，关于报错的具体信息了解可以跳到这里http://www.cnblogs.com/zhaozhan/archive/2012/06/01/2529384.html。

PS C:\Program Files\filebeat> PowerShell.exe -ExecutionPolicy RemoteSigned -File .\install-service-filebeat.

Status   Name               DisplayName
------   ----               -----------
Stopped  filebeat           filebeat


PS C:\Program Files\filebeat>

安装完成。

2.配置：filebeat.yml

配置input

filebeat.prospectors:
- input_type: log #输入的数据类型
  paths:
    - D:\logs\LogFiles\W3SVC4\*.log #文件路径
  tail_files: true　　#是否从文件末尾开始读取
  encoding: utf-8　　#日志文件编码 document_type: IIS_LOG　　#自定义文件字段，根据你的输入数据命名。 fields_under_root: true　　#新增字段是否置顶。 fields: host_ip: x.x.x.x　　　　　#新增IP字段，把Client的IP带过去。

配置output:

#----------------------------- Logstash output --------------------------------
output.logstash:　　#输出到logstatsh
  # The Logstash hosts
  hosts: ["x.x.x.x:5044"]　　#logstash的IP端口

完成简单的配置， .\filebeat.exe -e -c .\filebeat.yml --configtest 进行配置文件测试，显示Config OK就完成了，注意配置文件对缩进要求很严格，尽量不要使用自带记事本进行编辑，编辑器的话notepad++是不错的选择。