Metricbeat生成大量字段如何禁用？仅保留Unix/Windows系统模块映射

我来帮你搞定这个冗余字段的困扰！其实问题出在Metricbeat默认会把所有内置模块的字段都塞进索引模板里，哪怕你根本没启用那些模块（比如你在Unix服务器上不需要的windows模块）。下面是具体的解决步骤：

1. 修改Metricbeat配置，限制模板仅包含需要的模块 #

打开你的Metricbeat配置文件（比如/etc/metricbeat/metricbeat.yml），在现有配置基础上添加以下模板配置，明确只加载system模块的字段映射：

# 新增模板配置，放在metricbeat.modules配置块前后均可
setup.template:
  enabled: true
  include_modules: ["system"]  # 只保留system模块的字段映射，排除其他模块（比如windows）
  overwrite: true  # 允许覆盖已存在的旧模板，确保新配置生效

你的完整配置片段大概会是这样：

metricbeat.modules:
  - module: system
    period: 1m
    metricsets:
      - cpu
      - load
      - memory
      - process
      - process_summary
    processes: ['.*']
  # 所有未使用的模块请直接删除或注释掉

# 新增的模板配置
setup.template:
  enabled: true
  include_modules: ["system"]
  overwrite: true

2. 删除已存在的冗余索引模板 #

如果之前已经生成了包含冗余字段的旧模板，需要先删除它，否则新模板可能不会生效。用curl命令连接你的Elasticsearch实例删除模板：

curl -X DELETE http://<你的ES主机>:<ES端口>/_template/metricbeat-*

替换<你的ES主机>和<ES端口>为实际值（比如默认是localhost:9200）。

3. 重启Metricbeat服务 #

让新的配置生效：

sudo systemctl restart metricbeat

额外说明 #

• 如果你之后需要在Windows服务器上部署Metricbeat，那边可以单独配置include_modules: ["windows"]，这样两边的索引模板就各自对应平台的模块，不会互相产生冗余字段。
• 确认你没有在配置中启用其他不需要的模块，所有未使用的模块都要注释或删除，避免额外的字段生成。

内容的提问来源于stack exchange，提问作者ScipioAfricanus