elasticsearch - 在Logstash 5.x中修改默认的Elasticsearch模板

Question

我已经设置了Elastic Stack 5.3来聚合来自一堆服务器的日志，每个服务器中的Filebeat都会抓取日志并将其发送到集中式Logstash，Elasticsearch和Kibana。

我已经设置了Logstash配置以提取一些自定义字符串字段，但是我希望更改索引模板，以将其类型从“文本”更改为“关键字”。我找到了配置指令来指定自己的模板，但是在哪里可以找到Logstash的默认模板，以便可以将其用作起点？我已经在/ etc / logstash和/ usr / share / logstash下搜索(我已经在RHEL 7上安装了 Vanilla Logstash 5.3 RPM)，但是找不到任何东西。

如何在logstash 5.x上创建非标准索引模板的任何好例子都非常方便；我发现的大多数示例都早于Beats和5.x中的新字符串类型。该文档还有一些不足之处。

Answer 1

可以在https://github.com/logstash-plugins/logstash-output-elasticsearch/tree/master/lib/logstash/outputs/elasticsearch的logstash-output-elasticsearch插件存储库中找到默认的Elasticsearch索引模板

对于ES 2.x，5.x和6.x，您会在其中找到不同的模板，您正在寻找的模板可能是the 5.x one。