Filebeat

Question

我在 unix 服务器上安装了 filebeat rpm，我正在尝试使用多行日志读取 3 个文件，我知道一些关于使用 filebeat 进行多行匹配的知识，但我想知道是否可以匹配 3 个单独的日志。

谢谢

Answer 1

示例，（未测试）

filebeat.prospectors:
- input_type: log
  paths:
    - /var/log/app1/file1.log
  multiline.pattern: '^\[[0-9]{4}-[0-9]{2}-[0-9]{2}'
  multiline.negate: false
  multiline.match: after

- input_type: log
  paths:
    - "/var/log/app2/file2.log"

- input_type: log
  paths:
    - "/var/log/app3/file3.log"

negate: true 和 match: after => 指定任何 与指定模式不匹配的行 属于 上一行 .

参考资料

https://www.elastic.co/guide/en/beats/filebeat/current/multiple-prospectors.html

https://www.elastic.co/guide/en/beats/filebeat/current/multiline-examples.html

Understanding Multiline

Filebeat - 具有多行日志的多个文件

Fileabeat - multiple files with multiline logs

elasticsearch

参考资料