控制来自 logstash 转发器的日志流

Question

我想控制来自logstash forwarder客户端的日志流，因为现在它从头读取整个日志文件，这在项目中不需要。

我希望不要将2015 年11 月10 日之前的日志转发到logstash 服务器。有没有办法我们可以做到。

Answer 1

您可以使用删除过滤器简单地删除 logstash 索引器配置中太旧的事件：

  if [somevalue] < X {
     drop { }
  }

查看文档：https://www.elastic.co/guide/en/logstash/current/plugins-filters-drop.html