如何让Docker中的Filebeat采集指定路径自定义日志至ELK

1. 挂载自定义日志目录到Filebeat容器 #

你的自定义日志存放在宿主机/home/raju/elk/docker/路径下，但当前运行Filebeat容器的命令未将该目录挂载到容器内部，导致容器无法访问这些日志文件。需在docker run命令中添加挂载参数：

修改后的完整运行命令：

docker run -d \
  --name=filebeat \
  --user=root \
  --volume="$(pwd)/filebeat.docker.yml:/usr/share/filebeat/filebeat.yml:ro" \
  --volume="/var/lib/docker/containers:/var/lib/docker/containers:ro" \
  --volume="/var/run/docker.sock:/var/run/docker.sock:ro" \
  --volume="/home/raju/elk/docker:/home/raju/elk/docker:ro" \
  docker.elastic.co/beats/filebeat:8.5.3 filebeat -e --strict.perms=false

新增的--volume="/home/raju/elk/docker:/home/raju/elk/docker:ro"参数，将宿主机日志目录以只读方式挂载到容器内相同路径，确保Filebeat能读取到目标日志文件。

2. 检查Filebeat容器日志排查问题 #

执行以下命令查看容器运行日志，确认是否存在文件访问失败、连接异常等报错：

docker logs filebeat

若日志中出现file not found或权限相关提示，可针对性调整宿主机日志文件权限或挂载路径。

3. 验证Elasticsearch索引与Kibana配置 #

• 访问Elasticsearch，执行命令查看是否生成包含自定义日志的索引（默认前缀为filebeat-*）：

  curl -X GET "my_ip:9200/_cat/indices/filebeat-*"
  

• 在Kibana的Discover页面，确认已添加filebeat-*索引模式，若未添加需手动创建，否则无法在Kibana中查看对应日志。

4. 优化配置（可选：区分自定义日志） #

可在filebeat.yml的日志输入配置中添加标签或自定义字段，方便在Kibana中快速区分自定义日志与容器日志：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /home/raju/elk/docker/*.log
  tags: ["custom-log"]
  fields:
    log_type: "custom_docker_logs"

内容的提问来源于stack exchange，提问作者Raja Muneer