如何配置Filebeat排除指定Docker容器日志？exclude_files不生效

问题根源 #

你当前配置的exclude_files: - filebeat-.*\.log无效，因为Docker容器日志文件的命名规则是容器ID，而非filebeat-xxx.log格式，所以这个正则根本匹配不到目标日志文件。

可行解决方案 #

方案1：使用exclude_containers参数（推荐）

这是Filebeat容器输入类型的专属参数，直接针对容器名称/ID做排除，无需依赖元数据处理器，配置更简洁：

filebeat.inputs:
- type: container
  paths:
   - '/var/lib/docker/containers/*/*.log'
  multiline:
    pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
    negate: true
    match: after
  exclude_containers:
    - '^filebeat.*'  # 匹配名称以filebeat开头的容器，正则可根据实际容器名调整
  processors:
  - add_docker_metadata: ~

方案2：通过drop_event处理器过滤（基于Docker元数据）

利用已配置的add_docker_metadata处理器获取到的容器元数据，在事件发送前丢弃Filebeat容器的日志：

按容器名称过滤

processors:
  - add_docker_metadata: ~
  - drop_event:
      when:
        # 精确匹配容器名，若容器名带前缀（如docker-compose项目名），改用contains
        equals:
          docker.container.name: "filebeat"

按容器镜像过滤

如果容器名称可能变化，可通过镜像名精准匹配：

processors:
  - add_docker_metadata: ~
  - drop_event:
      when:
        equals:
          docker.container.image: "docker.elastic.co/beats/filebeat:8.10.0"  # 替换为你的Filebeat镜像版本

验证配置 #

修改后重启Filebeat容器，观察Elasticsearch中是否还会收到Filebeat自身的日志事件，或通过filebeat test config验证配置语法正确性。

内容的提问来源于stack exchange，提问作者devops-admin