filebeat结合mysql模板

【1】查看支持的内置模块

Filebeat内置了不少的模块，可以直接使用他们对日志进行收集，支持的模块如下：

[root@ELK-chaofeng07 logstash]# filebeat modules list
Enabled:
mysql

Disabled:
apache2
auditd
elasticsearch
haproxy
icinga
iis
kafka
kibana
logstash
mongodb
nginx
osquery
postgresql
redis
suricata
system
traefik

只要是上面出现的filebeat都是支持的，但是使用它之前需要设置一下才可以使用，比如：

filebeat modules enable mysql

【2】使用mysql模板

那这次我们来看看如何使用mysql模块收集mysql的慢查询日志和错误日志

1、首先是使filebeat支持mysql模块

filebeat modules enable mysql

2、在配置文件/etc/filebeat/filebeat.yml启用输出到elasticsearch和kibana的功能。

设置完成后保存就可以了。此外，你的kibana和elasticsearch集群需要正常运行才能进行下一步。

3、开始准备预定义环境

filebeat setup -e

如果最后报错了，那么需要根据情况进行修复。

4、在配置文件/etc/filebeat/modules.d/mysql.yml进行设置

5、启动filebeat

nohup ./filebeat run &

上面的完成后基本就差不多了，此时我们可以启动filebeat服务了。

如果说你启动的时候报如下错误，说明你的filebeat.yml配置文件中有多个output输出源，此时你需要把其他的output都注释掉才行，只留一个源输出到elasticsearch即可。

Exiting: Template loading requested but the Elasticsearch output is not configured/enabled

6、es中查看到filebeat的索引

此后你会在elasticsearch集群中看到这个索引：

7、kibana 关于mysql模板的仪表盘

接下来就是到kibana界面，在这里，你不需要事先创建索引等等操作，直接点击dashboard界面选择mysql即可，比如：

最后你使用几个慢查询语句以及插入一些错误日志到执行的日志文件中看一下效果：

就这样子就完成了。

本篇实践是我参考官网的文档来做的，详情链接是：https://www.elastic.co/guide/en/beats/filebeat/current/filebeat-module-mysql.html#mysql-settings

总结：我觉得上面的这种方式并不能普及使用，因为这缺少logstash过滤的一步，这样子我们就不能很好的使用聚合等图形。此外没有broker，会造成大量输出到elasticsearch导致阻塞。我的方案是使用logstash过滤加上内置的自定义模块比较好。

8、查看实际内容

【3】配置filebeat指定mysql module收集来的日志使用自定义索引名

（3.1）关键查询区分字段

查看实际内容

（3.2）在 filebeat.yml中，output 到 es 的配置里

output.elasticsearch:
  hosts: ["192.168.175.132:9200"]
  index: "system-%{[fields.source]}-*"
  indices:
    - index: "system-sys-%{+yyyy.MM.dd}"
      when.equals:
        fields:
          source: "sys"
    - index: "system-q1-%{+yyyy.MM.dd}"
      when.equals:
        fields:
          source: "q1"
    - index: "system-t1-%{+yyyy.MM.dd}"
      when.equals:
        fields:
          source: "t1"
    - index: "system-mysqlerrorlog-%{+yyyy.MM.dd}"
      when.equals:
        fileset.name: "error"
    - index: "system-mysqlslowlog-%{+yyyy.MM.dd}"
      when.equals:
        fileset.name: "slowlog"

然后启动filebeat， ./filebeat -e run，如下图，没有error 字样就OK了

（3.3）结果核验

成功

【故障处理】

（1）Failed to start crawler: creating module reloader failed

2021-10-20T14:57:13.129+0800 ERROR instance/beat.go:989 Exiting: Failed to start crawler: creating module reloader failed: 
    could not create module registry for filesets: error getting config for fileset mysql/slowlog: 
    Error interpreting the template of the input: template: 
text:3:22: executing "text" at <.paths>: range can't iterate over /data/mysqllog/mysql_slowlog/slow.log
Exiting: Failed to start crawler: creating module reloader failed: 
    could not create module registry for filesets: error getting config for fileset mysql/slowlog: 
    Error interpreting the template of the input: template: text:3:22: executing "text" at <.paths>: 
    range can't iterate over /data/mysqllog/mysql_slowlog/slow.log