日志模式的grok過濾器

Question

我有這種形式的日志模式。

field1|field2|field3|field4|field5| key1=value1 key2=value2 key3=value3

鍵值對可以任意順序排列。 key2可能早於key1。

我能夠解析field1-field5。 無法確定如何對鍵值對進行操作

%{GREEDYDATA:fieldValue1}\|%{GREEDYDATA:fieldValue2}\|%{GREEDYDATA:fieldValue3}\|%{GREEDYDATA:fieldValue4}\|%{GREEDYDATA:fieldValue5}\|

我可以在grok創建鍵值映射，然后發送特定的鍵嗎？ 有什么建議嗎？

Answer 1

您可以使用kv過濾器解析其他部分。 喜歡：

grok {
    match => { "message" => "%{GREEDYDATA:fieldValue1}\|%{GREEDYDATA:fieldValue2}\|%{GREEDYDATA:fieldValue3}\|%{GREEDYDATA:fieldValue4}\|%{GREEDYDATA:fieldValue5}\| %{GREEDYDATA:keyValue}" }
 }
kv {
    source => "keyValue"
}