elasticsearch - Logstash-FileBeat多行设置将太多消息分组

Question

我已经配置FileBeat使用以下配置发送多行日志:

-
  paths:
    - /opt/wls/domains/filename.log
  input_type: log
  document_type: log_doc
  multiline:
    pattern: ^%{TIMESTAMP_ISO8601}
    negate: true
    match: after

据我所知，它应该将所有行追加到上一行，直到找到以时间戳记(TIMESTAMP_ISO8601)开头的行。

在我的情况下，使用该设置，filebeat发送多个日志消息，这些消息分组为一个。我的日志消息是这样开始的:
2016-10-14 20:31:07,447 INFO [ACTIVE] ExecuteThread: '5' for queue: 'weblogic.kernel.Default (self-tuning)' ...
它应该与 ^%{TIMESTAMP_ISO8601}匹配，那么可能是什么问题？为什么将它们作为一条消息发送？

谢谢。

附言我也尝试过 ^%{YYYY}和 ^%{YEAR}模式，但是结果是相同的...

Answer 1

如评论中所述，FileBeat不支持grok模式。我写了一个regexp而不是grok模式，而且效果很好。支持的正则表达式可以在这里找到:https://www.elastic.co/guide/en/beats/filebeat/1.2/regexp-support.html，一些多行示例和有关FileBeat的技巧可以在这里找到:https://www.elastic.co/guide/en/beats/filebeat/1.2/multiline-examples.html