Filebeat 5 中如何强制重新读取（重建）日志数据？

核心做法：Filebeat 用 registry 文件记录每个日志文件的读取位置。停止 Filebeat → 删除 registry 文件（通常在 /var/lib/filebeat/registry）→ 重新启动，Filebeat 就会从头重新读取所有匹配的日志文件。

操作步骤

# 1. 停止 Filebeat
sudo service filebeat stop

# 2. 删除 registry 文件（路径因安装方式而异）
sudo rm -rf /var/lib/filebeat/registry

# 3. 启动 Filebeat
sudo service filebeat start

registry 文件记录了每个被监控文件的 inode 和读取偏移，删除后 Filebeat 失去"记忆"，会把所有文件当作新文件重新采集。

注意事项

1. 会产生重复数据：下游 Elasticsearch 里已有的日志会再写一遍。如需"重建"，应先删除旧索引，或让下游按文档 ID 去重。
2. 检查 prospector 路径配置：确认 paths 仍然匹配你要重读的日志文件。
3. clean_inactive / ignore_older：如果配置了这些选项，早于设定时间的文件即使删了 registry 也不会被重新读取，需要临时调大。

观测云对照

观测云 DataKit 的日志采集自动管理读取偏移，省去手工维护 registry 的工作；日志统一进入观测云存储，可以在日志查看器中检索分析，并通过多索引和存储策略灵活管理数据生命周期。

常见问题（FAQ）

Q：只想重新读取某一个文件怎么办？
A：registry 是 JSON 格式（Filebeat 5 的 registry 为文本格式），可以编辑后只删除对应文件的记录，比整体删除更精确。

Q：删除 registry 后 Filebeat 还是不读旧文件？
A：检查 ignore_older 配置——超过此时长的文件会被忽略；改成 0 或足够大的值再试。

Q：生产环境这样做有什么风险？
A：重复数据占用存储、可能影响告警规则触发。建议先在测试环境验证流程，且尽量在低峰期操作。