[英]Dynamic Rsyslog template
我有一個 Rsyslog 配置,如下所示:
template(name="extract" type="string" string="%msg:R:/(?:"(level)":")((\\"|
[^"])*)"/g–end%")
if $InputFileTag == 'esblog' then {
set $!level = exec_template("extract");
} else {
set $!level = $syslogseverity-text;
}
template(name="json_lines" type="list") {
constant(value="{")
constant(value="\"@timestamp\":\"") property(name="timereported" dateFormat="rfc3339")
constant(value="\",\"host\":\"") property(name="hostname")
constant(value="\",\"json.level\":\"") property(name="$!level" format="json")
constant(value="\",\"facility\":\"") property(name="syslogfacility-text")
constant(value="\",\"tag\":\"") property(name="syslogtag" format="json")
constant(value="\",\"message\":\"") property(name="msg" format="json")
constant(value="\"}")
}
基本上,如果源標簽是 esblog,我想使用這個正則表達式,從“提取”中提取日志消息的嚴重性。 否則我想使用默認的嚴重性。 然后在 json.level 標簽中使用該變量,這樣我在傳出消息中只需要一個模板。 但是還沒有運氣讓它起作用。
使用 RegEx 的示例消息: https : //regex101.com/r/lN4tD4/1
錯誤日志
0341.407068000:main thread : error: can not find regex end in: '(?:"level":")(\"|[^"]*)"–end%'
0341.407084000:main thread : PROP_INVALID for name ''
0341.407097000:main thread : Called LogMsg, msg: error during parsing file /etc/rsyslog.conf, on or before line 32: invalid property ''
0341.407195000:main thread : Called LogMsg, msg: error during parsing file /etc/rsyslog.conf, on or before line 32: error processing template object
0341.407350000:main thread : Called LogMsg, msg: error during parsing file /etc/rsyslog.conf, on or before line 33: exec_template(): template 'extract'
正則表達式只需要改變。
template(name="extract" type="string" string="%msg:R,ERE,2,DFLT:(\"level\":\")(\\\"|[^\"]*)\"--end%")
if $programname contains "esb-log" then {
set $!level = exec_template("extract");
} else {
set $!level = $syslogseverity-text;
}
在線 Rsyslog RegEx 工具: http ://www.rsyslog.com/regex/
聲明:本站的技術帖子網頁,遵循CC BY-SA 4.0協議,如果您需要轉載,請注明本站網址或者原文地址。任何問題請咨詢:yoyou2525@163.com.