无日志文件时，如何将应用控制台日志通过Filebeat接入ELK Stack？

针对应用仅输出控制台日志的场景，以下是几种适配现有ELK+Filebeat架构的可行方案：

方案1：重定向控制台输出到文件，复用Filebeat文件监听 #

这是最贴合你现有配置的方案，无需大幅调整Filebeat配置：

• 修改应用启动命令，将标准输出（stdout）和标准错误（stderr）重定向到指定日志文件：

  ./your-app > /var/log/your-app/app.log 2>&1
  

  其中2>&1表示将错误输出合并到标准输出中。
• 如果应用通过systemd管理，可修改服务配置文件（如/etc/systemd/system/your-app.service），添加日志重定向配置：

  [Service]
  StandardOutput=file:/var/log/your-app/app.log
  StandardError=file:/var/log/your-app/app.log
  

  重启服务后，systemd会自动将应用控制台日志写入指定文件。
• 保持Filebeat原有配置，将监听路径指向上述日志文件即可。
• 额外建议：配置logrotate对该日志文件进行轮转，避免文件过大。

方案2：让Filebeat直接采集应用的标准输入 #

通过管道将应用输出直接传给Filebeat，无需生成日志文件：

• 修改应用启动命令，通过管道连接Filebeat：

  ./your-app | filebeat -c /etc/filebeat/filebeat.yml -e
  

• 在filebeat.yml中启用stdin输入模块：

  filebeat.inputs:
    - type: stdin
      enabled: true
  

• 注意：此方案中应用与Filebeat进程绑定，任意一方重启都会导致另一方中断，仅适合临时测试或轻量单进程场景，不推荐生产环境使用。

方案3：通过系统日志服务中转（以systemd journald为例） #

如果应用由systemd管理，其控制台日志默认会被收集到journald中，可配置Filebeat直接采集journald中你的应用日志：

• 在filebeat.yml中启用journald输入模块，并过滤目标应用的日志：

  filebeat.inputs:
    - type: journald
      enabled: true
      paths: []
      # 根据你的应用systemd服务名过滤
      include_matches:
        - "_SYSTEMD_UNIT=your-app.service"
  

• 重启Filebeat后，即可自动采集该应用的控制台日志。
• 优势：无需修改应用启动命令，利用系统原生日志服务管理，日志可靠性更高。

内容的提问来源于stack exchange，提问作者Lan Aaroon Jabasundar