为什么使用了 -c 参数，filebeat 还是去加载 etc 中的 filebeat.yml？

Question

路径 /home/bot/Desktop/coder/ideaboom/test_ELK_EFK 有 filebeat.yml 文件

┌──(bot㉿kali)-[~/Desktop/coder/ideaboom/test_ELK_EFK]
└─$ ll                                                                                                             130 ⨯
总用量 35476
drwxr-xr-x  2 bot bot     4096  7月 22 23:10 .
drwxr-xr-x 74 bot bot     4096  7月 22 23:07 ..
-rw-r--r--  1 bot bot 36311970  2月 28 22:11 filebeat-7.17.1-amd64.deb
-rw-r--r--  1 bot bot        0  7月 22 23:07 filebeat_send.py
-rwxr-xr-x  1 bot bot      224  7月 22 23:07 filebeat.yml

filebeat.yml 文件内容

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /Users/ponponon/Desktop/code/me/ideaboom/test_ELK_EFK/logs/*.log

setup.kibana:
  host: "localhost:5601"

output.elasticsearch:
  hosts: ["localhost:9200"]

当我运行 filebeat 的时候:

┌──(bot㉿kali)-[~/Desktop/coder/ideaboom/test_ELK_EFK]
└─$ filebeat -c ./filebeat.yml                                                                                     130 ⨯
Exiting: error loading config file: open /etc/filebeat/filebeat.yml: permission denied

?????????????????????????

我都 -c ./filebeat.yml 了， filebeat 为什么还要去 /etc/filebeat/filebeat.yml

---

我是通过 wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-7.17.1-amd64.deb 然后 sudo apt install ./filebeat-7.17.1-amd64.deb 安装的 filebeat，不是跑在 docker 中！

Answer 1

global flags

-c, --c FILE
Specifies the configuration file to use for Filebeat. The file you specify here is relative to path.config. If the -c flag is not specified, the default config file, filebeat.yml, is used.
--path.config
Sets the path for configuration files. See the Directory layout section for details.

根据 Directory layou ，path.config 默认值是 /etc/filebeat

所以，它去找了 /etc/filebeat/filebeat.yml 。

Answer 2

我知道原因了！

这狗东西不识别相对路径，只认绝对路径：

┌──(bot㉿kali)-[~/Desktop/coder/ideaboom/test_ELK_EFK]
└─$ filebeat run --c /home/bot/Desktop/coder/ideaboom/test_ELK_EFK/filebeat.yml                                      1 ⨯
Exiting: could not initialize the keystore: open /var/lib/filebeat/filebeat.keystore: permission denied