configuration - Logstash 创建了大量的本地日志文件和(虽然它随后发送到 Elasticsearch)

Question

问题

我有一台装有 logstash 的机器，还有另一台 Elasticsearch-Kibana 机器，它存储从第一台机器上的 logstash 写入的日志。自然，我不希望原始机器上保留任何日志，而只在 Elasticsearch 集群上处理日志记录。

不幸的是，logstash 在第一台机器上创建了巨大的日志文件(不应该保留任何东西):



配置

我在 /etc/logstash 下只有一个文件在原始机器上，据我所知，配置没有指定本地输出:

input {
        tcp {
                port => 5959
                codec => json
        }
        udp {
                port => 5959
        }
}
filter{
    json{
        source => "message"
    }
}
filter{
        if [@message] == "Incoming Event" {
            mutate{
                    add_field => {
                              "location" =>  "%{@fields[location]}"
                        }
                }
        }
}
output {
        elasticsearch {
                # The host in which elasticsearch and Kibana live
                host => "some.internal.aws.ip" 
        }
}

如何通过配置阻止logstash写入本地日志？我知道我可以对它们进行 cron-del，但我认为预防不太容易出错。

Answer 1

我和你在 CentOS 7 机器上运行时遇到了同样的问题。除了elasticsearch之外没有任何输出，但logstash仍然将所有传入的消息输出到logstash.log和 logstash.stdout
在对实际的 ruby​​ 代码进行了一些研究后，发现默认的日志记录模式非常冗长。

然而，有一个标志(据我所知似乎没有记录)名为 --quiet这解决了问题。

将标志添加到 LS_OPTS -variable 在配置文件中(在 centos 上为 /etc/sysconfig/logstash)或直接在 init.d 中像这样的脚本:

# Arguments to pass to logstash agent
LS_OPTS="--quiet"