Filebeat v7.6.0仅输出日志到syslog，不写入文件问题排查

我来帮你梳理下可能导致这个问题的几个常见原因，以及对应的解决办法：

1. 日志目录权限不足 #

首先要确认/var/log/filebeat目录是否存在，并且Filebeat运行用户（默认是filebeat用户）拥有该目录的读写权限。

• 先检查目录状态：

  ls -ld /var/log/filebeat
  

• 测试Filebeat用户是否能写入该目录：

  sudo -u filebeat touch /var/log/filebeat/test_write.log
  

如果执行touch命令失败，说明权限不够，需要创建目录并修正权限：

sudo mkdir -p /var/log/filebeat
sudo chown filebeat:filebeat /var/log/filebeat
sudo chmod 755 /var/log/filebeat

2. 配置文件未正确加载或存在语法错误 #

你修改的配置文件可能不是Filebeat实际加载的文件，或者配置本身有语法错误：

• 验证指定配置文件的合法性：

  filebeat test config -c /etc/filebeat/filebeat.yml
  

如果输出Config OK说明配置合法，否则会提示具体的语法错误。

• 修改配置后必须重启Filebeat服务才能生效：

  sudo systemctl restart filebeat
  

3. Systemd服务配置覆盖了日志设置 #

在使用systemd的系统中，Filebeat的服务配置文件可能强制将日志输出到syslog，覆盖了你在filebeat.yml中的设置：

• 打开Filebeat的systemd服务文件（通常路径是/usr/lib/systemd/system/filebeat.service或/etc/systemd/system/filebeat.service），检查是否存在以下行：

  StandardOutput=syslog
  StandardError=syslog
  

如果有，将这两行注释掉（前面加#），然后重新加载systemd配置并重启服务：

sudo systemctl daemon-reload
sudo systemctl restart filebeat

4. SELinux限制导致写入失败 #

如果你的系统启用了SELinux，它可能会阻止Filebeat写入/var/log/filebeat目录：

• 临时关闭SELinux测试是否生效：

  sudo setenforce 0
  

重启Filebeat后如果日志文件正常生成，说明是SELinux的问题，需要添加永久规则允许写入：

sudo semanage fcontext -a -t var_log_t "/var/log/filebeat(/.*)?"
sudo restorecon -Rv /var/log/filebeat

内容的提问来源于stack exchange，提问作者ndtreviv