Filebeat on Ubuntu — ログファイルをElasticsearchへ転送する設定

サーバーのログはなんとなく /var/log/ に溜まっていくだけ、という状態になっていませんか。Filebeat を使えば、その散らばったログを Elasticsearch へリアルタイムで転送でき、Kibana で一元管理できるようになります。

この記事では Ubuntu 24.04 LTS に Filebeat 8.19.16 をインストールし、ログをElasticsearchへ転送するまでの設定を、実際に動かした結果とともに紹介します。

目次

1. 前提環境とFilebeatの役割
2. Elastic APTリポジトリの追加
3. Filebeatをインストールする
4. filebeat.yml を設定する（ファイルストリーム入力 + Elasticsearch出力）
5. Filebeatを起動して動作を確認する
6. モジュールで Nginx ログを解析する
7. よくあるエラーと解決策
8. まとめ

前提環境とFilebeatの役割

動作確認した環境は次の通りです。

Filebeat は ログシッパー（ログ転送エージェント）です。サーバー上のログファイルを読み取り、Elasticsearch や Logstash へ送り続けます。Elastic Stack（旧ELK Stack）の「B」の部分に当たり、インストールは軽量で常駐メモリは50〜60MB程度です。

Elastic APTリポジトリの追加

Filebeat は Ubuntu の公式パッケージリポジトリには含まれていません。Elastic社が配布する専用APTリポジトリを追加する必要があります。手順は2ステップです。

手順1：GPGキーを追加する

パッケージの改ざん検知に使う GPG 公開鍵をダウンロードして、apt が参照できる場所に配置します。

エラーなく処理が終われば成功です。

手順2：APTリポジトリを追加する

Elastic の APT リポジトリを /etc/apt/sources.list.d/ に追加します。

出力にリポジトリ行が表示されれば追加完了です。

Filebeatをインストールする

パッケージリストを更新してからインストールします。Filebeat のパッケージサイズは約69MBです。

インストール後、バージョンを確認します。

実際にDockerコンテナで確認した結果です。Ubuntu 22.04 と 24.04 でインストールを試したところ、どちらも 8.19.16 が入りました。Elastic社のリポジトリから直接配信されるため、Ubuntu のバージョンによる差はありません。

filebeat.yml を設定する

設定ファイルは /etc/filebeat/filebeat.yml にあります。インストール直後のデフォルト設定では enabled: false になっていて何も転送しません。最低限、次の2か所を変更します。

①入力（inputs）の設定

どのログファイルを読み込むかを指定します。type: filestream は Filebeat 7.16 以降の推奨入力タイプで、旧 log タイプの後継です。

id は必須です。同一ホストで複数の filestream 入力を定義する場合に重複しないよう注意します。paths にはワイルドカード（/var/log/*.log）も使えます。

②出力（output）の設定

Elasticsearch への接続先を設定します。デフォルトは localhost:9200 です。別ホストに Elasticsearch がある場合はそのIPかホスト名に変えます。

Elasticsearch にセキュリティ（X-Pack）が有効な場合は username と password が必要です。Elastic 8.x はデフォルトでセキュリティが有効なので、ほとんどのケースで認証情報が必要になります。

Filebeatを起動して動作を確認する

手順1：設定ファイルの構文チェック

起動前に filebeat test config で設定の構文を確認します。実際に Docker 上で実行したところ、Config OK と表示されました。

手順2：接続確認

filebeat test output で Elasticsearch への到達性を確認します。コマンドを実行すると、DNS解決・TCP接続・認証の各ステップが順番に表示されます。Elasticsearch が起動していない場合は「dns lookup... ERROR」や「dial up... ERROR」が出ます。Elasticsearch が正常に動いていれば最後まで OK が続きます。

Elasticsearch を別ホストに立てた場合は test output が特に便利です。ファイアウォールの設定ミスでポートが塞がっていても、ここで即座に気づけます。ERROR が出たステップをひとつずつ潰していくのが確実です。

手順3：サービスとして起動する

設定が確認できたら systemd サービスとして起動し、自動起動も有効にします。

active (running) になれば、paths に指定したログファイルの転送が始まっています。

モジュールで Nginx ログを解析する

Filebeat には55種類以上のモジュールが付属しています。モジュールは特定サービスのログ解析に必要な設定（入力パス・パース形式・Kibanaダッシュボード）をまとめたものです。

Nginx モジュールを有効にする例です。

モジュールを使うと、filebeat.yml を手動で書くより設定ミスが減ります。Nginx のアクセスログ（/var/log/nginx/access.log）とエラーログを自動的に拾ってくれます。

よくあるエラーと解決策

①ログが Elasticsearch に届かない

まず filebeat test output で接続を診断します。接続先ホストが見つからない場合は次のように DNS エラーが出ます。

hosts に設定したホスト名やIPアドレスが正しいかを確認します。ElasticsearchサービスはIPアドレスで直接指定するのが確実です。

②「Exiting: error loading config file」

設定ファイルの YAML 構文エラーです。インデントはスペース2つで統一し、タブ文字を混ぜないよう注意します。filebeat test config を実行すると、エラー行が表示されます。

③ログファイルに権限がなくて読めない

/var/log/auth.log など root のみ読めるファイルがあります。Filebeat を root で動かすか、filebeat ユーザーをファイルの読み取りグループに追加します。

まとめ

Filebeat のセットアップをまとめます。

• Elastic の APT リポジトリを追加してから apt install filebeat でインストール。Ubuntu 22.04 / 24.04 ともに 8.19.16 が入る（2026年6月時点）
• filebeat.yml の inputs に監視ファイルを指定し、output.elasticsearch に接続先を書く
• filebeat test config → filebeat test output → systemctl start の順で進めると確実
• nginx / mysql / postgresql など55種類以上のモジュールがあり、modules enable で即使える

VPS でサーバーを運用している場合、複数ホストのログを Elasticsearch に集約しておくと、障害時の調査が格段に楽になります。まず1台で試してみるのをおすすめします。

Filebeatと組み合わせるVPSを選ぶなら、https://linuxlab.jp/ubuntu-server-setup/も参考にしてください。