☰

如何配置 rsyslog 以使 elk-auditbeat 日志不存储在 /var/log/messages 中

tag-icon • tag-icon linux rsyslog
如何配置 rsyslog 以使 elk-auditbeat 日志不存储在 /var/log/messages 中

我在 centos7 中安装了 audit-beat，此处 audit-beat 日志存储在/var/log/messages文件中。由于 audit-beat 日志，我的磁盘每次都会被填满。如何配置rsyslog不将 audit-beat 日志存储到/var/log/messages文件中？

答案1

默认情况下，该-e标志将输出发送到 stderr。您可以从 systemd 单元文件中删除此选项。应该有帮助。

sed -e '/BEAT_LOG_OPTS=-e/ s/^#*/#/' -i /lib/systemd/system/{auditbeat,metricbeat,filebeat}.service
systemctl daemon-reload
systemctl restart metricbeat filebeat

在此主题中找到了答案/线索

请注意，从 beats 7.7+ 开始，配置已经发生改变，因此上述操作将不再起作用。

https://github.com/elastic/beats/issues/12024#issuecomment-628925105

相关内容