Winlogbeat 命令参考

编辑

Winlogbeat 提供了一个命令行界面,用于启动 Winlogbeat 并执行常见任务,例如测试配置文件和加载仪表板。

命令行还支持用于控制全局行为的全局标志

此处描述的某些功能需要 Elastic 许可证。有关更多信息,请参阅 https://elastic.ac.cn/subscriptions许可证管理

命令

export

将配置、索引模板、管道或 ILM 策略导出到 stdout。

help

显示任何命令的帮助。

keystore

管理密钥库

run

运行 Winlogbeat。如果您在不指定命令的情况下启动 Winlogbeat,则默认使用此命令。

setup

设置初始环境,包括索引模板、ILM 策略和写入别名以及 Kibana 仪表板(如果可用)。

test

测试配置。

version

显示当前版本的信息。

另请参阅全局标志

export 命令

编辑

将配置、索引模板、管道或 ILM 策略导出到 stdout。您可以使用此命令快速查看您的配置,查看索引模板和 ILM 策略的内容,从 Kibana 导出仪表板,或导出 ingest 管道。

概要

winlogbeat export SUBCOMMAND [FLAGS]

子命令

config
将当前配置导出到 stdout。如果您使用 -c 标志,则此命令将导出指定文件中定义的配置。
dashboard

导出仪表板。您可以使用此选项将仪表板存储在模块的磁盘上并自动加载它。例如,要将仪表板导出到 JSON 文件,请运行

winlogbeat export dashboard --id="DASHBOARD_ID" > dashboard.json

要查找 DASHBOARD_ID,请查看 Kibana 中仪表板的 URL。默认情况下,export dashboard 将仪表板写入 stdout。该示例显示了如何将仪表板写入 JSON 文件,以便稍后导入它。JSON 文件将包含带有所有可视化和搜索的仪表板。您必须单独为 Winlogbeat 加载索引模式。

要加载仪表板,请将生成的 dashboard.json 文件复制到 Winlogbeat 的 kibana/6/dashboard 目录中,并运行 winlogbeat setup --dashboards 以导入仪表板。

如果 Kibana 未在 localhost:5061 上运行,您还必须调整 setup.kibana 下的 Winlogbeat 配置。

template
将索引模板导出到 stdout。您可以指定 --es.version 标志来进一步定义导出的内容。此外,您可以通过 --dir 定义目录,将模板导出到文件而不是 stdout
ilm-policy
将索引生命周期管理策略导出到 stdout。您可以指定 --es.version--dir,将策略导出为文件,而不是导出到 stdout
pipeline
导出 ingest 管道。您必须指定 --es.version 以指定管道应与哪个版本的 Elasticsearch 兼容。您可以选择指定 --dir 来控制管道的写入位置。

标志

--es.version VERSION
当与 template 一起使用时,导出与指定版本兼容的索引模板。当与 ilm-policy 一起使用时,如果为 ILM 启用了指定的 ES 版本,则导出 ILM 策略。当与 pipeline 一起使用时,导出与指定版本兼容的管道版本。
-h, --help
显示 export 命令的帮助。
--dir DIRNAME
定义一个目录,模板、管道和 ILM 策略应导出到该目录作为文件,而不是将它们打印到 stdout
--id DASHBOARD_ID
当与 dashboard 一起使用时,指定仪表板 ID。

另请参阅全局标志

示例

winlogbeat export config
winlogbeat export template --es.version 8.17.0
winlogbeat export dashboard --id="a7b35890-8baa-11e8-9676-ef67484126fb" > dashboard.json

help 命令

编辑

显示任何命令的帮助。如果未指定任何命令,则显示 run 命令的帮助。

概要

winlogbeat help COMMAND_NAME [FLAGS]
COMMAND_NAME
指定要显示帮助的命令的名称。

标志

-h, --help
显示 help 命令的帮助。

另请参阅全局标志

示例

winlogbeat help export

keystore 命令

编辑

管理密钥库

概要

winlogbeat keystore SUBCOMMAND [FLAGS]

子命令

add KEY
将指定的密钥添加到密钥库。使用 --force 标志覆盖现有密钥。使用 --stdin 标志通过 stdin 传递值。
create
创建一个密钥库来保存密钥。使用 --force 标志覆盖现有密钥库。
list
列出密钥库中的密钥。
remove KEY
从密钥库中删除指定的密钥。

标志

--force
addcreate 子命令有效。当与 add 一起使用时,覆盖指定的密钥。当与 create 一起使用时,覆盖密钥库。
--stdin
当与 add 一起使用时,使用 stdin 作为密钥值的来源。
-h, --help
显示 keystore 命令的帮助。

另请参阅全局标志

示例

winlogbeat keystore create
winlogbeat keystore add ES_PWD
winlogbeat keystore remove ES_PWD
winlogbeat keystore list

有关更多示例,请参阅密钥库

run 命令

编辑

运行 Winlogbeat。如果您在不指定命令的情况下启动 Winlogbeat,则默认使用此命令。

概要

winlogbeat run [FLAGS]

winlogbeat [FLAGS]

标志

-N, --N
禁用发布以进行测试。此选项禁用除文件输出之外的所有输出。
--cpuprofile FILE
将 CPU 配置文件数据写入指定的文件。此选项对于 Winlogbeat 的故障排除非常有用。
-h, --help
显示 run 命令的帮助。
--httpprof [HOST]:PORT
启动一个用于分析的 http 服务器。此选项对于 Winlogbeat 的故障排除和分析非常有用。
--memprofile FILE
将内存配置文件数据写入指定的输出文件。此选项对于 Winlogbeat 的故障排除非常有用。
--system.hostfs MOUNT_POINT
指定主机文件系统的挂载点,以便用于监视主机。此标志已弃用,应通过 hostfs 模块配置值指定备用 hostfs。

另请参阅全局标志

示例

winlogbeat run -e

winlogbeat -e

setup 命令

编辑

设置初始环境,包括索引模板、ILM 策略和写入别名以及 Kibana 仪表板(如果可用)

  • 索引模板确保字段在 Elasticsearch 中正确映射。如果启用了索引生命周期管理,它还会确保定义的 ILM 策略和写入别名连接到与索引模板匹配的索引。ILM 策略负责索引的生命周期,何时进行滚动更新,何时将索引从热阶段移动到下一阶段等。
  • Kibana 仪表板使您可以更轻松地在 Kibana 中可视化 Winlogbeat 数据。

此命令设置环境,而无需实际运行 Winlogbeat 和采集数据。指定可选标志来设置资产的子集。

概要

winlogbeat setup [FLAGS]

标志

--dashboards
设置 Kibana 仪表板(如果可用)。此选项从 Winlogbeat 包加载仪表板。有关更多选项,例如加载自定义仪表板,请参阅 Beats 开发人员指南中的导入现有 Beat 仪表板
-h, --help
显示 setup 命令的帮助。
--index-management
设置与 Elasticsearch 索引管理相关的组件,包括模板、ILM 策略和写入别名(如果受支持且已配置)。

另请参阅全局标志

示例

winlogbeat setup --dashboards
winlogbeat setup --index-management

test 命令

编辑

测试配置。

概要

winlogbeat test SUBCOMMAND [FLAGS]

子命令

config
测试配置设置。
output
通过使用当前设置测试 Winlogbeat 是否可以连接到输出。

标志

-h, --help
显示 test 命令的帮助。

另请参阅全局标志

示例

winlogbeat test config

version 命令

编辑

显示当前版本的信息。

概要

winlogbeat version [FLAGS]

标志

-h, --help
显示 version 命令的帮助。

另请参阅全局标志

示例

winlogbeat version

全局标志

编辑

无论何时运行 Winlogbeat,都可以使用这些全局标志。

-E, --E "SETTING_NAME=VALUE"

覆盖特定的配置设置。您可以指定多个覆盖。例如

winlogbeat -E "name=mybeat" -E "output.elasticsearch.hosts=['http://myhost:9200']"

此设置应用于当前正在运行的 Winlogbeat 进程。Winlogbeat 配置文件不会更改。

-c, --c FILE
指定要用于 Winlogbeat 的配置文件。您在此处指定的文件相对于 path.config。如果未指定 -c 标志,则使用默认配置文件 winlogbeat.yml
-d, --d SELECTORS
为指定的选择器启用调试。 对于选择器,您可以指定一个以逗号分隔的组件列表,或者使用 -d "*" 来为所有组件启用调试。 例如,-d "publisher" 将显示所有与发布者相关的消息。
-e, --e
将日志输出到 stderr 并禁用 syslog/文件输出。
-environment
出于日志记录目的,指定 Winlogbeat 运行的环境。 此设置用于在未配置日志输出时选择默认的日志输出。 支持的值包括:systemdcontainermacos_servicewindows_service。 如果指定了 systemdcontainer,Winlogbeat 默认会将日志输出到 stdout 和 stderr。
--path.config
设置配置文件的路径。 有关详细信息,请参阅目录布局部分。
--path.data
设置数据文件的路径。 有关详细信息,请参阅目录布局部分。
--path.home
设置杂项文件的路径。 有关详细信息,请参阅目录布局部分。
--path.logs
设置日志文件的路径。 有关详细信息,请参阅目录布局部分。
--strict.perms
对配置文件设置严格的权限检查。 默认值为 -strict.perms=true。 有关更多信息,请参阅配置文件所有权和权限
-v, --v
记录 INFO 级别的消息。