Kubernetes中Metricbeat正常传数据但Filebeat无ES索引求助

1. 验证Filebeat与Elasticsearch的连通性及索引存在性 #

• 进入Filebeat Pod内部，测试与Elasticsearch服务的连通性：

  kubectl exec -it <filebeat-pod-name> -- curl -u <es-username>:<es-password> http://<elasticsearch-service-name>:9200
  

  返回ES集群信息则连通正常，否则检查网络策略、ES认证配置。
• 查询Elasticsearch中是否存在Filebeat相关索引：

  kubectl exec -it <filebeat-pod-name> -- curl -u <es-username>:<es-password> http://<elasticsearch-service-name>:9200/_cat/indices?v
  

  查看输出中是否有filebeat-*前缀的索引，不存在则说明Filebeat未成功向ES写入数据。
• 查看Filebeat Pod日志，排查数据写入或连接报错：

  kubectl logs <filebeat-pod-name> --follow
  

  重点关注output.elasticsearch相关错误，如认证失败、连接超时、索引创建失败等。

2. 检查Filebeat配置正确性 #

• 查看Filebeat的ConfigMap配置：

  kubectl get configmap <filebeat-configmap-name> -o yaml
  

  验证以下关键配置：
  • output.elasticsearch.hosts：指向正确的Elasticsearch服务地址
  • output.elasticsearch.username/password：与ES认证信息匹配
  • output.elasticsearch.index：设置为正确的命名格式（如filebeat-%{[agent.version]}-%{+yyyy.MM.dd}）
  • setup.ilm.enabled：若启用ILM需确保配置正确，可临时设为false测试
  • inputs部分：确认监听日志路径正确，无错误的exclude_paths规则过滤目标日志

3. 检查Elasticsearch的索引模板与ILM策略 #

• 查询ES中是否存在Filebeat索引模板：

  kubectl exec -it <filebeat-pod-name> -- curl -u <es-username>:<es-password> http://<elasticsearch-service-name>:9200/_template/filebeat-*
  

  若模板不存在，执行Filebeat初始化命令创建模板：

  kubectl exec -it <filebeat-pod-name> -- filebeat setup --index-management -E output.elasticsearch.hosts=["<elasticsearch-service-name>:9200"] -E output.elasticsearch.username=<es-username> -E output.elasticsearch.password=<es-password>
  

• 若使用ILM，检查策略状态：

  kubectl exec -it <filebeat-pod-name> -- curl -u <es-username>:<es-password> http://<elasticsearch-service-name>:9200/_ilm/policy/filebeat-*
  

  确认策略未阻止索引的创建或可见性。

4. 验证Kibana索引模式配置 #

• 登录Kibana控制台，进入Stack Management > Index Patterns：
  • 检查是否已创建filebeat-*的索引模式，未创建则手动添加，并设置@timestamp为时间字段
  • 确认当前Kibana用户拥有访问filebeat-*索引的权限（可在Stack Management > Roles中检查权限配置）

内容的提问来源于stack exchange，提问作者Breaking News