Filebeat 长时间保持已删除文件的文件句柄

在默认行为中，Filebeat 打开文件并保持打开状态，直到读取到文件末尾。当配置的输出被阻塞（例如，Elasticsearch 或 Logstash 不可用）很长时间时，这会导致 Filebeat 保持对已被从文件系统中删除的文件的文件句柄。只要 Filebeat 保持已删除文件的打开状态，操作系统就不会释放磁盘上的空间，这可能会导致磁盘利用率增加甚至磁盘空间不足。

为了缓解这个问题，您可以将 close_timeout 设置为 5m。这将确保每 5 分钟关闭一次所有文件句柄，无论是否已到达 EOF。请注意，如果文件在 Filebeat 到达文件末尾之前被删除，此选项可能会导致数据丢失。