Windows 上如何安装运行 Filebeat
Filebeat Windows 版三步走：解压 zip → 改 filebeat.yml（paths 与 output）→ 管理员 PowerShell 执行 install-service-filebeat.ps1 注册为系统服务。附启动、验证与排错命令。
一句话回答：Filebeat 有原生 Windows 版本：从 Elastic 官网下载 Windows zip 包解压到 C:\Program Files\Filebeat，编辑 filebeat.yml 配置日志路径与输出目标，然后用管理员 PowerShell** 运行目录里的 install-service-filebeat.ps1 注册为 Windows 服务，Start-Service filebeat 启动即可。**
安装步骤
1. 下载解压
到 Elastic 官网下载 Filebeat 的 Windows ZIP 版，解压到 C:\Program Files\Filebeat（此路径包含空格，PowerShell 中需正确加引号）。
2. 配置 filebeat.yml
filebeat.inputs:
- type: filestream
id: myapp-files
paths:
- C:\logs\myapp\*.log # Windows 路径注意反斜杠
output.elasticsearch:
hosts: ["https://es.example.com:9200"]
api_key: "${ES_API_KEY}"
ssl.certificate_authorities: ['C:\Program Files\Filebeat\certs\http_ca.crt']
示例需替换成实际 Elasticsearch 地址、已核验 CA 及具备最小写入权限的 API key；ES_API_KEY 用 Filebeat keystore 或受控环境变量提供。Windows 路径建议用 YAML 单引号，双引号内反斜杠需要转义。每个 filestream input 需要唯一稳定 id。
3. 注册并启动服务
# 管理员 PowerShell，cd 到解压目录
cd "C:\Program Files\Filebeat"
.\install-service-filebeat.ps1
Start-Service filebeat
脚本受执行策略限制时先验证下载来源，按组织策略为当前进程临时授权，不永久降低用户级策略。启动前执行 .\filebeat.exe test config -e 和 .\filebeat.exe test output -e。
验证运行状态
Get-Service filebeat # 服务状态
Get-Content "C:\Program Files\Filebeat-Data\logs\filebeat*" -Tail 50 # 运行日志
当前安装脚本的状态/日志目录使用 C:\Program Files\Filebeat-Data；旧版本可能使用 C:\ProgramData\filebeat。以已安装版本、服务启动参数中的 path.logs 为准，不要假定日志在二进制目录。
常见问题排查
| 症状 | 检查 |
|---|---|
| 服务起不来 | 先前台跑一遍看报错：.\filebeat.exe -c filebeat.yml -e |
| 没有数据进 ES | paths glob 是否匹配（用 dir 验证）、文件是否被其他进程独占锁 |
| 连接被拒 | ES 地址/端口/认证；Windows 防火墙出站 |
| 重复采集 | 注册表目录（data/registry）被删会导致重采，勿动 |
常见问题（FAQ）
Q：Windows 上 Filebeat 和直接用 Logstash 采集怎么选？
A：Filebeat 偏向采集转发（资源占用随输入与队列配置变化）、专为"采集+转发"设计；Logstash 重但能做复杂解析。常规姿势是 Filebeat 采集 → 发到 Logstash/ES。只在单机上解析量小也可以 Filebeat 直连 ES 用 ingest pipeline。
Q：能采集 Windows 事件日志吗？
A：传统 Windows Event Log 采集使用 Winlogbeat 或 Elastic Agent 的 Windows 集成；不要把 Winlogbeat 的 event_logs 配置直接当作 Filebeat filestream 配置。以具体发行版支持的输入为准。
Q：卸载怎么卸干净？
A：Stop-Service filebeat → 运行 uninstall-service-filebeat.ps1 → 删除安装目录。确有服务残留时用 sc.exe delete filebeat；PowerShell 中 sc 可能是别名。清理状态数据前确认不需要断点续采与回滚。
参考资料
本文依据官方资料核对，未进行现场运行测试；代码与配置示例需结合实际版本、权限和环境验证。
