logging - ELK堆栈-如何将所有旧日志回填到elasticsearch中？

Question

Ive设置了ELK + filebeat，并设置了日志，但想将所有旧日志回填到logstash / ES中。我怎样才能做到这一点？人们提到删除sincedb文件和/或将其添加到我的logstash input.conf中:

  file {
      path => "/var/log/xx/xx.log"
      start_position => "beginning"
      sincedb_path => "/dev/null"
     }

但是我将其添加到我的输入conf中，并重新启动了logstash，但仍然看不到Kibana中的旧日志。我也找不到每个人都引用的sincedb_ *文件。我的ELK节点是RHEL服务器。

谢谢

Answer 1

如果这些文件较旧，则最好将 ignore_older => 0 添加到您的配置中。

  file {
      path => "/var/log/ptsfd-mms/ptsfd-mms.log"
      start_position => "beginning"
      sincedb_path => "/dev/null"
      ignore_older => 0
  }