elasticsearch - Fileabeat-具有多行日志的多个文件

Question

我在unix服务器上安装了filebeat rpm，并且尝试读取包含多行日志的3个文件，并且我对使用filebeat进行多行匹配有所了解，但我想知道是否可以匹配3个单独的日志。

谢谢

Answer 1

您可能基本上需要multiple prospectors，

示例(未测试)

filebeat.prospectors:
- input_type: log
  paths:
    - /var/log/app1/file1.log
  multiline.pattern: '^\[[0-9]{4}-[0-9]{2}-[0-9]{2}'
  multiline.negate: false
  multiline.match: after

- input_type: log
  paths:
    - "/var/log/app2/file2.log"

- input_type: log
  paths:
    - "/var/log/app3/file3.log"

negate: true和match: after =>指定与指定模式不匹配的任何行都属于的前一行。

引用文献

https://www.elastic.co/guide/en/beats/filebeat/current/multiple-prospectors.html

https://www.elastic.co/guide/en/beats/filebeat/current/multiline-examples.html

Understanding Multiline