如何将相同的消息发送到logstash中的不同输出？

Question

我有一个关于日志处理的常见用例。我想

1. 读取日志文件
2. 将它们发送到logstash（我正在使用elastic / filebeat）
3. 解析，格式化，保存到elasticsearch，kibana等。
4. 我希望对这些日志文件进行原始备份。

这是我目前无法解决的第四点。我可以保存提取/解析的消息，但我想拥有整个原始行。有没有办法用logstash做到这一点？

Answer 1

如果原始日志message未更改，您可以使用logstash output以原始格式将其发送到文件：

output{
   file {
         path => "/var/logstash/logstash-%{+YYYY-MM-dd}.log"
         message_format => "%{host}:%{type}:%{message}"
    }
}

通过编辑message_format在日志文件中省略或添加所需的字段。如果您希望每种类型的日志都在sepearte文件中编辑path