Logstash-grok使用消息以外的其他字段

Question

我正在使用Logstash转发器从远程服务器接收Log4j生成的日志文件。 日志事件中的字段包括格式为/tomcat/logs/app.log、/tomcat/logs/app.log.1等的名为“文件”的字段。当然，文件路径/ tomcat / logs在远程计算机上我希望Logstash仅使用文件名而不使用远程文件路径在本地文件系统上创建文件。

在本地，我想基于文件名app.log，app.log.1等创建一个文件。如何实现此目的？

我无法使用grok，因为它似乎仅适用于“消息”字段，而不适用于其他字段。

示例日志事件：

{“ message”：[“ 2014年9月11日16：29：04,934此处的信息日志消息详细信息”]，“ @ version”：“ 1”，“ @ timestamp”：“ 2014-09-15T05：44：43.472Z”， “文件”：[ “/ Tomcat的/日志/ app.log.1”]， “宿主”： “AUS-002157”， “偏移量”： “3116”， “类型”： “app.log”}

Logstash配置-如何编写过滤器部分？

input {
    lumberjack {
      port => 48080
      ssl_certificate => "/tools/LogStash/logstash-1.4.2/ssl/logstash.crt"
      ssl_key => "/tools/LogStash/logstash-1.4.2/ssl/logstash.key"
    }
}

filter{

}

output {

    file{
        #message_format => "%{message}"
        flush_interval => 0
        path => "/tmp/%{host}.%{type}.%{filename}"
        max_size => "4M"
    }
}

Answer 1

得出的模式如下：

grok{
    match => [ "file",  "^(/.*/)(?<filename>(.*))$" ]
}

谢谢您的帮助！

Answer 2

Logstash Grok可以解析日志事件中的所有字段，而不仅仅是message字段。

例如，您要提取file字段，可以这样

filter {
   grok {
       match => [ "file", "your pattern" ]
   }
}