ELK堆栈 - 如何将所有旧日志回填到elasticsearch？

Question

我已经设置了ELK + filebeat，并且要将所有旧日志回填到logstash/ES中。我怎样才能做到这一点？人提到删除sincedb文件和/或增加这个我logstash input.conf中：

file { 
     path => "/var/log/xx/xx.log" 
     start_position => "beginning" 
     sincedb_path => "/dev/null" 
    } 

但我把它添加到我的输入的conf然后重新启动logstash，仍然没有看到Kibana旧日志。我也找不到每个人都提到的sincedb_ *文件。我的ELK节点是RHEL服务器。

感谢

Answer 1

如果这些文件是旧的，这是一个好主意，还添加ignore_older => 0到你的配置。

file { 
     path => "/var/log/ptsfd-mms/ptsfd-mms.log" 
     start_position => "beginning" 
     sincedb_path => "/dev/null" 
     ignore_older => 0 
    }