现象

使用filebeat监控采集日志的时候,发现磁盘空间告警,经过lsof |grep -i "deleted"查询到有filebeat产生的未释放的文件.

解决方案

#没有新日志采集后多长时间关闭文件句柄，默认5分钟，设置成1分钟，加快文件句柄关闭；
  close_inactive: 1m
  #传输了3h后荏没有传输完成的话就强行关闭文件句柄，这个配置项是解决以上案例问题的key point；
  close_timeout: 3h
  #这个配置项也应该配置上，默认值是0表示不清理，不清理的意思是采集过的文件描述在registry文件里永不清理，在运行一段时间后，registry会变大，可能会带来问题。
  clean_inactive: 72h
  #设置了clean_inactive后就需要设置ignore_older，且要保证ignore_older < clean_inactive
  ignore_older: 70h