配置Filebeat输出到已有ES索引却写入默认索引问题求助

你遇到的配置失效问题和Elasticsearch侧的默认模板无关，是Filebeat默认启用的*索引生命周期管理（ILM）*功能导致的配置覆盖。
你的日志已经明确给出了触发逻辑：ILM启用时，Filebeat会强制忽略用户自定义的output.elasticsearch.index配置，自动使用filebeat-{版本号}格式的默认索引。

根据你是否需要使用ILM功能，有两种可选方案：

方案1：不需要ILM，直接禁用（最适配你的场景） #

在你的Filebeat配置文件中添加如下配置，关闭ILM功能即可：

setup.ilm.enabled: false

额外配置建议：

• 如果你已经在Elasticsearch侧手动创建好了sai5x的索引模板，可以新增配置setup.template.enabled: false，避免Filebeat自动覆盖你自定义的模板配置
• 保持你原有配置中的output.elasticsearch.index: "sai5x"、setup.template.name和setup.template.pattern配置即可
  配置修改完成后重启Filebeat服务生效。

方案2：需要保留ILM功能，配套修改ILM规则 #

如果需要用ILM做索引滚动、生命周期管理，需要同步修改ILM相关配置适配你的自定义索引：

# 原有索引配置保留，注意pattern要匹配ILM滚动生成的索引后缀格式
output.elasticsearch.index: "sai5x"
setup.template.name: "sai5x"
setup.template.pattern: "sai5x-*"
# 新增ILM适配配置
setup.ilm.enabled: true
setup.ilm.rollover_alias: "sai5x"
setup.ilm.pattern: "{now/d}-000001" # 可根据你的滚动规则自定义后缀格式

配置修改完成后重启Filebeat服务生效。

重启后检查Filebeat运行日志，确认没有Set output.elasticsearch.index to 'filebeat-xxx' as ILM is enabled的提示后，写入测试数据，执行GET /sai5x/_count查看数据是否正常写入。

内容的提问来源于stack exchange，提问作者juanmac