file - 如何强制 Logstash 重新解析文件？

Question

我安装了Logstash来解析apache文件。我花了相当长的时间才把设置正确，而且我总是在真实的日志上尝试。我注意到(正如文档所述)logstash“记住”它在文件中的位置。现在我的设置没问题，我希望 Logstash“忘记”。这看起来比我还难。我已经做了以下事情:

• 使用:start_position =>“开始”

• 从 elastissearch 中删除了完整的“data”文件夹(并首先停止它)

• 查看了logstash使用lsof -p PID打开的文件，并删除了所有有希望的文件(在我的例子中/tmp/jffi*.tmp )

Logstash 仍然不会忘记并仅解析日志所在文件夹中的“新鲜”文件

有什么想法吗？

Answer 1

默认情况下，logstash 将最后的位置写入日志文件，该日志文件通常驻留在 $HOME/.sincedb 中。通过将 /dev/null 指定为 sincedb_path，Logstash 可能会被欺骗，相信它从未解析过日志文件。

这里是文档的一部分 Input File .

Where to write the since database (keeps track of the current position of monitored log files). Defaults to the value of environment variable "$SINCEDB_PATH" or "$HOME/.sincedb".

配置示例

input {
    file {
        path => "/tmp/logfile_to_analyse"
        start_position => "beginning"
        sincedb_path => "/dev/null"
    }
}