filebeat 在向 elasticsearch 发送日志时是否添加元数据？

Question

我正在尝试通过 filebeat 将 systemd 日志发送到 elasticsearch。 对于其中一个日志条目，我在 elasticsearch 中看到以下元数据字段。

"meta" : {
        "cloud" : {
          "instance_id" : "xxxxxx",
          "machine_type" : "xxxxxx",
          "instance_name" : "xxxx",
          "availability_zone" : "xxxxxx",
          "provider" : "xxxxx"
        }
      },

我想知道上面的可见元数据字段是由filebeat添加还是由systemd拾取并像filebeat一样转发到elasticsearch？ 有没有办法检查？ 或者 filebeat 默认是否将元数据添加到它转发的日志中？

Answer 1

是的，它确实添加了元数据字段。

查看您的filebeat.yml ，您可能会看到以下两行：

processors:
  - add_host_metadata: ~
  - add_cloud_metadata: ~

默认情况下启用host和cloud元数据，如果您不想要这些字段，您只需要注释这些行。