如何禁用ELK默认索引？能否安全删除并阻止创建未用系统索引？

一、删除未使用系统索引是否安全？ #

得看索引类型：

• 要是Elastic Agent生成的、完全没关联你在用的集成或采集任务的索引（比如metrics-system-*但你不需要系统监控，或者logs-nginx-*但你没部署Nginx），删了完全安全，不会影响ELK核心运行，也碰不到你的业务索引。
• 绝对不能删的核心系统索引：.security-*（权限管理用）、.kibana-*（Kibana配置存储）、.fleet-*（Agent管理核心），这些是ELK的基础，删了直接崩功能。

二、阻止未使用索引创建的方法 #

1. 从Agent源头切断 #

在Kibana的Fleet界面里，找到对应的Agent策略，把你不需要的集成（比如默认的系统日志、metrics采集）直接禁用——这样Agent就不会再往ES发数据，自然不会生成对应索引。要是你用的是自定义agent.yml，直接删掉配置里不需要的inputs采集项就行。

2. 修改索引模板禁止自动创建 #

针对特定前缀的索引（比如不想让metrics-system-*生成），修改对应的索引模板，设置禁止自动创建：

PUT _index_template/metrics-system
{
  "index_patterns": ["metrics-system-*"],
  "template": {
    "settings": {
      "index.auto_create": false
    }
  },
  "priority": 100
}

注意优先级要设得比默认的Agent模板高，确保这个配置能覆盖默认规则。

3. Elasticsearch全局黑名单 #

在elasticsearch.yml里加配置，直接禁止指定前缀的索引自动创建，同时保留核心索引的创建权限：

action.auto_create_index: -"metrics-*,-logs-*,.security-*,.kibana-*,.fleet-*"

规则说明：-开头是禁止创建的前缀，后面不带-的是允许创建的核心索引。改完要重启Elasticsearch才生效。

三、安全操作步骤 #

1. 先排查确认无用索引
   用Kibana的索引管理界面，或者跑GET _cat/indices?v命令，把所有索引列出来，标记出你确定完全没用的那些——别误删核心索引。
2. 先禁创建，再删索引
   先通过上面的方法切断新索引的生成途径，避免删完又自动冒出来。然后执行删除命令：DELETE /[你的无用索引名或前缀]，比如DELETE /metrics-system-*。
3. 验证结果
   检查Agent状态正常，Kibana能正常登录、业务索引查询不受影响，再确认没有新的无用索引生成。

内容的提问来源于stack exchange，提问作者Tyrell