Logstash grok为特殊角色

Question

以下是我的日志

# Time: 2017-11-02T07:41:22.631956Z# User@Host: root[root] @ localhost []  Id:     

我无法为单词root[root]编写grok模式。 我想将此值作为单个列。示例：host = root[root]。

我希望[符合我的价值。

怎么做？

Answer 1

%{DATA:user}应该这样做。

您可以看到DATA here的定义。

用于解析整个日志的grok过滤器看起来有点像这样（我不确定你感兴趣的是哪些部分，但是你明白了）：

# Time: %{TIMESTAMP_ISO8601:timestamp}# %{DATA:user}@%{DATA:host}: %{DATA:user2} @ %{DATA:host2} \[\]  Id:

https://grokconstructor.appspot.com的结果：