Logstash解析的日志事件最终在Loggly中四次

Question

由Logstash解析的我的日志事件最终在Loggly中四次。可能导致这种情况的原因是什么？

一个例子是，行：

2014-11-05 01:52:55,485 PM PST [localhost-startStop-1] INFO  o.s.web.context.ContextLoader - Root WebApplicationContext: initialization started

在Loggly中看起来像这样：

我的Logstash配置文件如下所示：

input {
  file {
    type => "advcore-error"
    path => [ "/var/company/tomcat/logs/error/advcore-error.log"]
    sincedb_path => "$HOME/.sincedb"
  }
}

filter {
  if [type] == "advcore-error" {
    grok {
      pattern => "%{DATE_US} %{TIME},%{DATA:offset} %{DATA:meridian} %{DATA:timezone} \[%{DATA:thread}\] %{LOGLEVEL:loglevel} %{GREEDYDATA:message}"
      add_tag => "advcore-error"
    }
  }
}

output {
  loggly {
    codec => "plain"
    host => "logs-01.loggly.com"
    key => "<my-secret-key>"
    proto => "http"
    workers => 1
  }
}

Answer 1

我想出了这个问题。

我有三个其他Logstash配置文件（总共四个），每个文件都有相同的Loggly output块。

我不明白不同配置文件中的output块仍会传输来自所有配置文件的数据。

看来，给定Logstash templates目录（可能还有其他地方？）中的配置文件实际上是一个大文件。