为什么Logstash不能基于grok字段的多行合并行？
提问于 2014-07-23 11:33:04
我正在尝试让logstash多行处理以下测试文件：
val=abc
123 abc
test并为筛选器使用以下配置：
filter
{
if [message] =~ "val"
{
match => ["message", "val=%{WORD:calc}"
}
multiline
{
pattern => [calc]
what => "next"
}
}输出显示如下(其他字段被删除)：
"message" => "val=abc"
"calc" => "abc"
...
"message" => "123 abc"上面的内容让我知道grok是匹配的(因此是"calc“字段)，但我不知道为什么多行不合并第一行和第二行
回答 1
Stack Overflow用户
回答已采纳
发布于 2014-07-23 23:56:54
您的意思是如果存在calc字段，那么第一行和第二行将合并为一个envet？
如果是，下面的答案可以帮助您。您的多行模式不正确。请参阅此配置：
input {
stdin{}
}
filter {
if [message] =~ "val"
{
grok {
match => ["message", "val=%{WORD:calc}"]
}
}
multiline
{
pattern => "(val)"
what => "next"
}
}
output {
stdout {
codec => "rubydebug"
}
}多行中的模式是当message字段有val字时，您将遇到该模式，它将与第二行合并。在您的示例中，您使用[cal]，这意味着当message字段有cal单词时，message字段中没有任何cal。
页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://stackoverflow.com/questions/24919351
复制相关文章
点击加载更多
腾讯云开发者
