如何让 Filebeat 忽略某些容器的日志？

三种常用方式：exclude_files 按日志文件路径模式排除；drop_event 处理器按事件内容（如容器名、镜像名）丢弃；autodiscover 场景下用条件模板按容器元数据过滤。

方法一：exclude_files 按文件名排除

filebeat.inputs:
  - type: log
    paths:
      - /var/lib/docker/containers/*/*.log
    exclude_files:
      - '*container_to_ignore.*\.log$'

简单直接，但容器日志文件名是容器 ID，不太直观。

方法二：drop_event 按内容过滤

配合 add_docker_metadata 拿到容器名后再丢弃：

filebeat.inputs:
  - type: log
    paths:
      - /var/lib/docker/containers/*/*.log

processors:
  - add_docker_metadata: ~
  - drop_event:
      when:
        or:
          - equals:
              container.name: "my-noisy-container"
          - contains:
              container.image.name: "debug-image"

这是最灵活的方式——可以按容器名、镜像名、标签任意组合过滤。

方法三：autodiscover 条件排除

K8s 环境下用 autodiscover 时，在条件里排除特定 namespace 或 label 的 Pod：

filebeat.autodiscover:
  providers:
    - type: kubernetes
      templates:
        - condition:
            not:
              equals:
                kubernetes.namespace: "kube-system"
          config:
            - type: container
              paths:
                - /var/log/containers/*-${data.kubernetes.container.id}.log

观测云对照

观测云 DataKit 在 K8s 环境以 DaemonSet 部署，自动采集所有容器标准输出日志；通过 Pipeline 可以在采集侧按容器名、命名空间、日志内容等条件丢弃无用日志，只保留有价值的数据，降低存储成本。

常见问题（FAQ）

Q：exclude_files 的正则有什么注意事项？
A：匹配的是文件的完整路径，写模式时注意路径前缀；Windows 和 Linux 路径分隔符不同。

Q：drop_event 是在哪里发生的？
A：在 Filebeat 进程内、发送到下游之前，被丢弃的事件不占用网络带宽和存储。

Q：K8s 里按 label 过滤怎么写？
A：autodiscover 的 condition 支持 kubernetes.labels.xxx；DataKit 场景则可在 Pipeline 中用容器/ Pod 元数据字段做判断。