加载 Elasticsearch 索引模板
编辑加载 Elasticsearch 索引模板编辑
Elasticsearch 使用 索引模板 来定义
- 控制数据流和后备索引行为的设置。这些设置包括用于管理后备索引的随着其增长和老化而使用的生命周期策略。
- 确定如何分析字段的映射。每个映射都设置了用于特定数据字段的 Elasticsearch 数据类型。
Winlogbeat 的推荐索引模板文件由 Winlogbeat 包安装。如果您接受 winlogbeat.yml 配置文件中的默认配置，Winlogbeat 会在成功连接到 Elasticsearch 后自动加载模板。如果模板已经存在，除非您配置 Winlogbeat 这样做，否则不会被覆盖。
加载索引模板需要连接到 Elasticsearch。如果输出不是 Elasticsearch（或 Elasticsearch 服务），您必须 手动加载模板。
此页面展示了如何更改默认模板加载行为以
有关模板设置选项的完整列表，请参见 Elasticsearch 索引模板。
加载您自己的索引模板编辑
要加载您自己的索引模板，请设置以下选项
setup.template.name: "your_template_name" setup.template.fields: "path/to/fields.yml"
如果模板已经存在，除非您配置 Winlogbeat 这样做，否则不会被覆盖。
您可以加载数据流和索引的模板。
覆盖现有索引模板编辑
不要为多个 Winlogbeat 实例启用此选项。如果您同时启动多个实例，可能会因过多的模板更新请求而使 Elasticsearch 超载。
要覆盖已经加载到 Elasticsearch 中的模板，请设置
setup.template.overwrite: true
禁用自动索引模板加载编辑
如果您使用的是 Elasticsearch 以外的输出并且需要手动加载模板，则可能需要禁用自动模板加载。要禁用自动模板加载，请设置
setup.template.enabled: false
如果您禁用了自动模板加载，则必须手动加载索引模板。
手动加载索引模板编辑
要手动加载索引模板，请运行 setup 命令。需要连接到 Elasticsearch。如果启用了其他输出，则需要使用 -E 选项暂时禁用该输出并启用 Elasticsearch。这里面的示例假设启用了 Logstash 输出。如果已经启用了 Elasticsearch 输出，则可以省略 -E 标志。
如果您正在连接到安全的 Elasticsearch 集群，请确保已配置凭据，如 快速入门：安装和配置 中所述。
如果运行 Winlogbeat 的主机没有直接连接到 Elasticsearch，请参见 手动加载索引模板（备用方法）。
要加载模板
以管理员身份打开 PowerShell 提示符（右键单击 PowerShell 图标，然后选择 以管理员身份运行）。
从 PowerShell 提示符中，更改为安装 Winlogbeat 的目录，然后运行
PS > .\winlogbeat.exe setup --index-management -E output.logstash.enabled=false -E 'output.elasticsearch.hosts=["localhost:9200"]'
强制 Kibana 查看最新的文档编辑
如果您已经使用 Winlogbeat 将数据索引到 Elasticsearch，则索引可能包含旧文档。加载索引模板后，您可以从 winlogbeat-* 中删除旧文档以强制 Kibana 查看最新的文档。
使用此命令
PS > Invoke-RestMethod -Method Delete "https://127.0.0.1:9200/winlogbeat-*"
此命令将删除与模式 winlogbeat 匹配的所有索引。在运行此命令之前，请确保您要删除与该模式匹配的所有索引。
手动加载索引模板（备用方法）编辑
如果运行 Winlogbeat 的主机没有直接连接到 Elasticsearch，您可以将索引模板导出到文件，将其移动到有连接的主机，然后手动安装模板。
要导出索引模板，请运行
PS > .\winlogbeat.exe export template --es.version 8.14.3 | Out-File -Encoding UTF8 winlogbeat.template.json
要安装模板，请运行
PS > Invoke-RestMethod -Method Put -ContentType "application/json" -InFile winlogbeat.template.json -Uri https://127.0.0.1:9200/_index_template/winlogbeat-8.14.3
加载索引模板后，也要加载数据流。如果您没有加载它，则必须授予发布者用户对 winlogbeat-8.14.3 索引的 manage 权限。
PS > Invoke-RestMethod -Method Put -Uri https://127.0.0.1:9200/_data_stream/winlogbeat-8.14.3