elasticsearch - 在发送到Logstash/ Elasticsearch 之前，可以编写grok表达式来丰富FileBeat中的日志文件

Question

我的用例是将日志文件从各种应用程序传送到Elasticsearch，以便可以从Kibana查看它们。

我想知道可以为grok表达式配置Filebeat，以便应用程序团队可以在末尾管理其日志解析，并且中央日志记录系统/部署不受影响吗？如果可以的话，是否需要Logstash值得怀疑。我可以看到Filebeat支持多行表达式，但是可以通过解析消息来定义其他grok表达式并添加/删除字段吗？

Answer 1

Filebeat不执行grok处理。因此，您需要将数据发送到Logstash进行处理。

Elasticsearch 5.0中有一个名为Ingest Node的新功能，它将允许执行一些简单的grok处理而无需Logstash(即Filebeat-> Elasticsearch)。