beat 인덱스 템플릿 수정

다음은 엘라스틱 다이렉트 연동을 위한 winlogbeat 설정. (6.7.2 버전)

데이터 잘 들어옴.

쌓이는 데이터 사이즈에 따라 다르겠지만, 사이즈가 작다면 일 단위로 만들어지는 인덱스는 골치거리가 될 수 있다. 다음은 인덱스를 년 단위로 만들어주는 설정.

로그스태시는 원하는 인덱스 이름을 선택할 수 있는데, beat 제품군은 setup.template 설정을 추가해야 한다. 기본 템플릿이 아닌, 사용자 템플릿을 사용한다는 얘기. 그런데 에러 발생.

전에 다른 버전 테스트할 땐 잘 됐었는데 왜 이러지? 구글 뒤져봐도 모르겠고 해서 포기할까 하다 인덱스 이름에서 '버전(%{[agent.version]})' 양식을 빼봤다.

잘 됨. -_-

전엔 반드시 '비트 버전' 양식을 추가해야만 됐었는데, 이젠 또 반대네. 이런 자잘한 버그? 고맙습니다(..) 참고로 다이렉트 연동 대신, 로그스태시를 거치려면 Elasticsearch output 영역 대신 Logstash output 영역을 사용해야 한다.

이후 로그스태시 설정에서 beats 인풋 플러그인을 사용하면 됨.

input {
 beats {
  port => 5044
 }
}

관련 글

• Winlogbeat 8.12의 변화