禁用ILM后Filebeat多索引输出Elasticsearch遇批量发送失败求助

核心问题排查 #

从你的配置和报错来看，禁用ILM后出现批量发送失败，主要有以下几个关键原因：

1. agent.version字段被丢弃导致索引名/模板匹配异常 #

你的processors中配置了drop_fields，把agent.version字段删除了，但在索引名、模板名称和匹配规则中都用到了%{[agent.version]}变量：

• 索引名：index-%{[agent.version]}-%{[fields.app_id]:other}-%{+yyyy.MM.dd}
• 模板名称：index-%{[agent.version]}
• 模板匹配规则：index-%{[agent.version]}-*

当agent.version被丢弃后，变量解析为空，会生成类似index--denali-2024.05.20的无效索引名，同时模板的匹配规则也无法匹配到实际创建的索引，导致新索引没有正确的映射，最终引发批量写入失败。

解决步骤：

• 要么从drop_fields的列表中移除agent.version字段，确保变量能正常解析；
• 要么替换索引名和模板配置中的%{[agent.version]}为固定值（比如index-v8.12.0-%{[fields.app_id]:other}-%{+yyyy.MM.dd}），同时调整模板名称和匹配规则为对应固定值。

2. Elasticsearch自动创建索引未开启 #

禁用ILM后，Filebeat不会提前帮你创建索引，如果Elasticsearch的action.auto_create_index设置为false或限制了允许自动创建的索引前缀，就会导致写入时索引不存在，触发批量发送失败。

解决步骤：

• 在Elasticsearch的elasticsearch.yml中开启自动创建索引（或添加你的索引前缀到允许列表）：

  action.auto_create_index: "index-*"
  

• 或者手动提前创建对应格式的索引，同时确保索引的映射和你的模板一致。

3. Filebeat账号缺少索引创建权限 #

ILM启用时，通常会自动完成索引的创建流程，而禁用ILM后，需要Filebeat的账号拥有create_index权限才能在写入时创建新索引。如果账号权限不足，就会出现批量发送失败。

解决步骤：

• 在Elasticsearch中给Filebeat使用的账号赋予足够的权限：

  PUT /_security/role/filebeat_writer
  {
    "indices": [
      {
        "names": ["index-*"],
        "privileges": ["create_index", "write", "read"]
      }
    ]
  }
  

• 将该角色绑定到Filebeat的账号上。

4. 模板未正确加载或应用 #

虽然你设置了setup.template.enabled: true和setup.template.overwrite: true，但如果模板的匹配规则和实际索引名不匹配（比如前面提到的agent.version丢失导致的问题），模板就不会应用到新索引上，导致索引没有正确的字段映射，写入时出现格式错误。

验证与解决：

• 执行以下命令检查模板是否存在：

  curl -X GET "http://<es-ip>:<port>/_template/index-*"
  

• 如果模板存在，确认模板的index_patterns是否和你实际生成的索引名匹配；
• 重新加载模板：停止Filebeat，执行filebeat setup --template，然后重启Filebeat。

验证步骤 #

1. 先修复agent.version字段的问题，确保索引名能正常生成；
2. 检查Elasticsearch的自动创建索引设置和账号权限；
3. 手动创建一个测试索引，比如index-v8.12.0-denali-2024.05.20，然后尝试发送测试日志，看是否能成功写入；
4. 查看Filebeat的详细日志（设置logging.level: debug），获取更具体的报错信息，进一步定位问题。

内容的提问来源于stack exchange，提问作者Ramanichandran