如何配置ELK栈的Filebeat读取日志？Kibana查询不到本地日志排查

已发现的配置问题 #

• 重复定义setup.kibana配置段：你的filebeat.yml中先后两次声明setup.kibana，后声明的仅包含host的配置会覆盖前面带用户名密码的配置，虽不影响数据写入Elasticsearch，但会导致和Kibana交互的操作（如加载仪表板）出现权限异常，直接删除第二次重复的setup.kibana: host: "localhost:5601"段即可。
• 日志输入类型已废弃：当前启用的type: log输入属于Filebeat废弃特性，建议替换为更稳定的type: filestream，调整对应输入配置如下：

filebeat.inputs:
- type: filestream
  enabled: true
  paths:
    - C:\\logs\\*.log
  # 若需要读取日志文件历史内容，新增以下参数
  tail_files: false
# 关闭原log类型输入
- type: log
  enabled: false

• 注册表偏移问题：如果此前已启动过Filebeat，程序会在data/registry目录下记录日志文件的读取偏移，默认不会重复读取历史内容。调整配置后若需要重新读取全量日志，可先停止Filebeat，删除data/registry下的所有文件再重启服务。

必做排查步骤 #

• 权限校验：确认运行Filebeat的账户对C:\logs目录及目录下的.log文件拥有读取权限。若Filebeat以Windows服务身份运行，默认使用本地系统账户，可能无法读取用户私有目录下的文件。
• 索引校验：打开Kibana的Dev Tools控制台，执行查询语句GET _cat/indices/filebeat-*，如果返回结果中的docs.count为0，说明Filebeat未成功将采集到的数据写入Elasticsearch，优先查看Filebeat安装目录下logs文件夹中的运行日志，排查采集或网络连接错误。
• Kibana数据视图配置：如果上述查询返回有数据的索引，说明数据已经成功写入Elasticsearch，只需在Kibana中创建对应数据视图即可在Discovery页查看：进入「Stack Management」>「Data Views」>「Create data view」，索引模式填写filebeat-*，时间字段选择@timestamp，保存后返回Discovery页，调整右上角时间范围为包含日志生成时间的区间即可查看数据。

内容的提问来源于stack exchange，提问作者Alter Fredo