Wazuh Manager 4.3.8中Filebeat 7.10.2无法覆盖output.elasticsearch.hosts

你尝试的ELASTICSEARCH_URL和ELASTICSEARCH_HOSTS并非Filebeat 7.10.2官方支持的环境变量格式，所以无法覆盖配置。要正确覆盖output.elasticsearch.hosts，需要遵循Filebeat的环境变量命名规则：

1. 使用官方标准环境变量
   Filebeat通过将YAML配置路径转换为全大写、下划线分隔的变量名（前缀为FILEBEAT_）来覆盖配置。对应output.elasticsearch.hosts的变量是FILEBEAT_OUTPUT_ELASTICSEARCH_HOSTS，修改你的Kubernetes部署env配置如下：

env:
  - name: FILEBEAT_OUTPUT_ELASTICSEARCH_HOSTS
    value: "http://elasticsearch:9200"

如果需要设置多个ES节点，用逗号分隔即可：value: "http://es1:9200,http://es2:9200"

2. 验证配置生效情况
   部署更新后，进入Filebeat Pod执行以下命令，查看最终加载的配置是否已覆盖：

kubectl exec -it <你的filebeat-pod名称> -- filebeat test config

如果输出中output.elasticsearch.hosts显示为你设置的地址，说明覆盖成功。

3. 排查Wazuh部署的特殊配置
   Wazuh Manager配套的Filebeat可能使用了自定义ConfigMap或预配置模板，若上述方法仍不生效，先检查Pod内的原始配置文件：

kubectl exec -it <你的filebeat-pod名称> -- cat /usr/share/filebeat/filebeat.yml

如果配置中output.elasticsearch.hosts是硬编码值且未使用${变量名}插值，确保Filebeat启动时没有被其他配置文件（如/etc/filebeat/filebeat.yml）覆盖，优先使用官方环境变量规则即可生效。

内容的提问来源于stack exchange，提问作者Ciocoiu Petrisor