filebeat 在向 elasticsearch 發送日志時是否添加元數據？

Question

我正在嘗試通過 filebeat 將 systemd 日志發送到 elasticsearch。 對於其中一個日志條目，我在 elasticsearch 中看到以下元數據字段。

"meta" : {
        "cloud" : {
          "instance_id" : "xxxxxx",
          "machine_type" : "xxxxxx",
          "instance_name" : "xxxx",
          "availability_zone" : "xxxxxx",
          "provider" : "xxxxx"
        }
      },

我想知道上面的可見元數據字段是由filebeat添加還是由systemd拾取並像filebeat一樣轉發到elasticsearch？ 有沒有辦法檢查？ 或者 filebeat 默認是否將元數據添加到它轉發的日志中？

Answer 1

是的，它確實添加了元數據字段。

查看您的filebeat.yml ，您可能會看到以下兩行：

processors:
  - add_host_metadata: ~
  - add_cloud_metadata: ~

默認情況下啟用host和cloud元數據，如果您不想要這些字段，您只需要注釋這些行。