Logstash分离模式

Question

我们已为Application Server的每个日志创建了单独的模式。所有的模式都很好。但我们想要包含一个静态JSON值来表示此JSON对象来自模式。有没有什么办法可以使用日志存储模式实现这一点。

Answer 1

您可以使用grok过滤器中的add_field setting添加其他任意字段。

filter {
  if [type] == "type1" {
    grok {
      match => { "message" => "pattern1" }
      add_field => { "static" => "static value 1" }
    }
  } else {
    grok {
      match => { "message" => "pattern2" }
      add_field => { "static" => "static value 2" }
    }
  }
}