统信UOS怎么安装Filebeat采集_统信UOS Filebeat日志采集配置教程【进阶】-统信UOS-PHP中文网

统信uos上可通过apt源或二进制包安装filebeat，配置journald输入与uos特有日志路径，适配ulogservice输出，并通过dissect处理器解析审计日志字段，同时需处理mac权限限制。

统信uos怎么安装filebeat采集_统信uos filebeat日志采集配置教程【进阶】

如果您在统信UOS操作系统上需要实现日志集中采集，但尚未部署Filebeat，则可能是由于缺少适配UOS的安装包或配置未针对国产化环境优化。以下是适用于统信UOS的Filebeat安装与日志采集配置方法：

一、通过APT源安装Filebeat（推荐）

统信UOS基于Debian系，支持APT包管理器，可直接从官方或可信源安装稳定版本Filebeat，避免手动编译兼容性问题。

1、更新系统软件源列表：
sudoadapt-getupdate

2、安装Filebeat：
sudoadapt-getinstallfilebeat-y

3、验证安装是否成功：
filebeatversion

4、启用并启动服务：
sudosystemctlenablefilebeat
sudosystemctlstartfilebeat

二、使用二进制包安装（适配UOS ARM64或无网络环境）

当UOS系统为ARM64架构、内网隔离或APT源不可用时，需下载预编译二进制包，解压后手动部署，确保与UOS内核及glibc版本兼容。

1、创建部署目录：
sudo mkdir -p /opt/filebeat

2、下载适配UOS的Filebeat二进制包（如filebeat-8.11.2-linux-arm64.tar.gz或x86_64）：
wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-8.11.2-linux-x86_64.tar.gz -O /tmp/filebeat.tar.gz

3、解压至目标目录：
sudo tar -xzf /tmp/filebeat.tar.gz -C /opt/filebeat --strip-components=1

4、赋予执行权限：
sudo chmod +x /opt/filebeat/filebeat

5、创建systemd服务单元文件：
sudo tee /etc/systemd/system/filebeat.service [Unit]
Description=Filebeat sends log files to Logstash or Elasticsearch
Documentation=https://www.elastic.co/products/beats/filebeat
Wants=network-online.target
After=network-online.target

[Service]
Type=exec
User=root
ExecStart=/opt/filebeat/filebeat -c /opt/filebeat/filebeat.yml -path.home /opt/filebeat -path.config /opt/filebeat -path.data /var/lib/filebeat -path.logs /var/log/filebeat
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target
EOF

6、重载systemd配置并启动：
sudo systemctl daemon-reload
sudosystemctlstartfilebeat

三、配置Filebeat采集UOS系统日志（含journal日志）

UOS默认使用systemd-journald，其二进制日志需通过journald input插件采集，不能仅依赖文件路径监控；同时需兼容UOS日志路径规范（如/var/log/utmp、/var/log/uos-audit.log）。

1、编辑主配置文件：
sudo nano /etc/filebeat/filebeat.yml

2、禁用默认file输入，启用journald输入：
filebeat.inputs:
- type: journald
paths: ["/run/log/journal"]
include_matches: ["SYSLOG_IDENTIFIER=systemd", "SYSLOG_IDENTIFIER=kernel", "SYSLOG_IDENTIFIER=uos-audit"]

3、补充UOS特有日志路径：
- type: log
  enabled: true
  paths:
    - /var/log/uos-audit.log
    - /var/log/utmp
    - /var/log/apt/history.log
  fields:
    log_type: uos_system

4、设置输出至UOS兼容的后端（以ULogService为例）：
output.uls:
  enabled: true
  endpoint: internal.cn-wlcb.uls.ucloud.cn
  protocol: http
  topic_id: uos-prod-logs
  public_key: your_public_key_here
  private_key: your_private_key_here
  format: json

四、启用UOS安全审计日志字段解析（进阶）

UOS审计日志（uos-audit.log）采用固定格式，包含时间戳、事件类型、进程PID、用户UID等关键字段；需通过dissect或grok处理器提取结构化字段，便于后续分析。

1、在filebeat.yml中添加processors段：
processors:
- dissect:
  tokenizer: "%{time} %{+time} %{+time} %{event_type} %{pid} %{uid} %{comm} %{msg}"
  field: "message"
  target_prefix: "audit"

2、添加时间字段标准化：
- convert:
fields:
- {field: "audit.time", type: "date", formats: ["2006-01-02T15:04:05"]}

3、过滤非审计日志行（避免解析失败）：
- drop_event.when:
not: contains.message: "AUDIT"

五、验证Filebeat在UOS上的采集状态与权限适配

UOS默认启用强制访问控制（MAC）与安全策略，Filebeat可能因SELinux或uos-security-policy限制无法读取部分日志路径；需检查权限上下文并授权。

1、检查Filebeat进程安全上下文：
ps -eZ | grep filebeat

2、确认日志路径访问权限：
ls -ldZ /var/log/uos-audit.log

3、若提示Permission denied，临时放宽策略测试：
sudo setsebool -P filebeat_read_audit_log on

4、查看实时采集状态：
sudo filebeat test config
sudo filebeat test output
sudo journalctl -u filebeat -f --no-pager

5、确认日志已进入目标主题：
curl -X GET "internal.cn-wlcb.uls.ucloud.cn/v1/topics/uos-prod-logs/messages?limit=1" -H "Authorization: UCloud your_public_key:signature"