Filebeat日志报错：无法在Kibana中查看数据

环境与现象 #

• 已将Filebeat升级至7.17.7版本，Elasticsearch、Kibana同步为同版本
• Kibana无法查看日志，排查确认Filebeat未向Elasticsearch发送数据
• Filebeat日志报错：

ERROR   [publisher_pipeline_output]     pipeline/output.go:154  Failed to connect to backoff(elasticsearch(http://localhost:9200)): Connection marked as failed because the onConnect callback failed: resource 'filebeat-7.17.7' exists, but it is not an alias

• 已尝试重启Filebeat，问题未解决

当前Filebeat配置 #

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/www/vhosts/rshop/current/var/log/*.log
  multiline.pattern: ^\[[0-9]{4}-[0-9]{2}-[0-9]{2}
  multiline.negate: true
  multiline.match: after
filebeat.config.modules:
  path: ${path.config}/modules.d/*.yml
  reload.enabled: false
setup.template.settings:
  index.number_of_shards: 3
setup.ilm.enabled: false
setup.kibana:
output.elasticsearch:
  hosts: ["localhost:9200"]
  indices:
    - index: "r-logs-%{[agent.version]}-%{+yyyy.MM.dd}"
      when.regexp:
        log.file.path: '^.+\/var\/log\/recalculation\.log$'
  pipelines:
    - pipeline: "filebeat-6.8.7-monolog-pipeline"
      when.or:
        - regexp:
            log.file.path: '^.+\/var\/log\/recalculation\.log$' 
processors:
  - add_host_metadata: ~
  - add_cloud_metadata: ~
logging.level: info
logging.to_files: true
logging.files:
  path: /var/log/filebeat
  name: filebeat
  keepfiles: 7
  permissions: 0755

原因分析 #

错误核心：Elasticsearch中已存在名为filebeat-7.17.7的实际索引，但Filebeat连接时尝试将其作为别名使用，导致初始化回调失败。

• 配置中禁用了ILM（setup.ilm.enabled: false），但Filebeat仍会执行默认的别名关联逻辑
• 旧版本Filebeat或手动操作可能创建了同名的实际索引，而非预期的别名

解决方案 #

1. 验证资源类型 #

执行命令检查filebeat-7.17.7的类型：

curl -XGET 'http://localhost:9200/filebeat-7.17.7'

若返回结果包含settings、mappings字段，说明是实际索引而非别名。

2. 处理冲突资源 #

选项A：直接删除索引（无需保留数据时）

curl -XDELETE 'http://localhost:9200/filebeat-7.17.7'

选项B：迁移数据后删除原索引（需保留数据时）

# 重索引到新索引
curl -XPOST 'http://localhost:9200/_reindex' -H 'Content-Type: application/json' -d '{
  "source": { "index": "filebeat-7.17.7" },
  "dest": { "index": "filebeat-7.17.7-old" }
}'
# 删除原索引
curl -XDELETE 'http://localhost:9200/filebeat-7.17.7'

3. 优化配置（可选，避免后续问题） #

在Filebeat配置文件中添加以下内容，明确指定模板、匹配模式和别名：

setup.template.name: "filebeat-7.17.7"
setup.template.pattern: "filebeat-7.17.7-*"
setup.alias: "filebeat-7.17.7"

4. 重启并验证 #

systemctl restart filebeat
# 查看日志确认是否恢复正常
tail -f /var/log/filebeat/filebeat

内容的提问来源于stack exchange，提问作者NKumar