Elastic 集成过滤器插件

Elastic 集成旨在与数据流和与 ECS 兼容的输出一起使用。请确保在output-elasticsearch插件中启用了这些功能。

有关其他设置，请查看output-elasticsearch插件文档。

在通过 SSL 进行通信时，此插件使用系统信任库完全验证 Elasticsearch 提供的身份证明。您可以使用以下*一项*提供*备用*信任源

您还可以配置验证身份证明的哪些方面（请参阅ssl_verification_mode）。

在通过 SSL 进行通信时，您还可以配置此插件，以使用以下*一项*向其连接的 Elasticsearch 集群提供基于证书的身份证明

您可以通过以下几种方式之一配置此插件以向 Elasticsearch 提供身份验证凭据

在执行期间，Ingest 管道使用 Logstash 事件的临时可变视图（称为 ingest 文档）进行工作。此视图包含来自事件的所有结构化字段，并进行了最少的类型转换。

它还包含 ingest 管道处理器所需的附加元数据字段。

执行完成后，将对事件进行清理，以确保 Logstash 保留字段具有预期的形状，并为任何缺少的必需字段提供合理的默认值。当 ingest 管道将保留字段设置为无法强制转换的值时，该值将在事件上的备用位置可用，如下所述。

此外，当且仅当在管道执行期间设置了这些 Elasticsearch IngestDocument 元数据字段时，它们才会在生成的事件中可用。

用于对此插件进行身份验证到 Elasticsearch 的 API 密钥的编码形式。

云身份验证字符串（“<用户名>:<密码>”格式）是 username/password 对的替代方法，可以从 Elastic Cloud Web 控制台获取。

云 ID，来自 Elastic Cloud Web 控制台。

使用云 ID 连接时，与 Elasticsearch 的通信使用 SSL 保护。

有关更多详细信息，请查看Logstash 到云文档。

在启用了 GeoIP 数据库管理的 Logstash 进程中运行时，使用 GeoIP 处理器的集成默认情况下将使用托管的 Maxmind 数据库。通过使用托管数据库，您接受并同意MaxMind EULA。

您也可以使用包含数据库文件的本地目录的路径来配置此插件。

此插件将在提供的目录中发现所有扩展名为 .mmdb 的常规文件，并通过其文件名使每个文件对集成管道中的 GeoIP 处理器可用。它期望找到的文件采用 MaxMind DB 格式，并具有以下数据库类型之一：

要连接的 Elasticsearch 主机的非空列表。

示例

使用主机列表连接时，与 Elasticsearch 的通信使用 SSL 保护，除非另有配置。

使用 HTTP 基本身份验证连接到 Elasticsearch 时的密码。

用于标识此插件到 Elasticsearch 的 PEM 编码证书或证书链的路径。

一个或多个定义证书颁发机构的 PEM 格式文件。

此设置可用于覆盖系统信任库，以验证 Elasticsearch 提供的 SSL 证书。

默认情况下启用到 Elasticsearch 的安全 SSL 通信，除非

指定 ssl_enabled => true 可以是一个有用的冗余保障措施，以确保无法将此插件配置为使用非 SSL 通信。

PKCS8 格式的 SSL 证书密钥的路径。

ssl_keystore_path 的密码。

用于标识此插件到 Elasticsearch 的 JKS 或 PKCS12 格式密钥库的路径。

ssl_key 的密码或口令。

JKS 或 PKCS12 格式密钥库的路径，其中存储了受信任的证书。

此设置可用于覆盖系统信任库，以验证 Elasticsearch 提供的 SSL 证书。

ssl_truststore_path 的密码。

Elasticsearch 提供的证书的验证级别。

默认情况下，Elasticsearch 提供的 SSL 证书经过完全验证。

使用 HTTP 基本身份验证连接到 Elasticsearch 时的用户名。

如果此过滤器成功，则向此事件添加任意字段。字段名称可以是动态的，并可以使用 %{field} 包含事件的部分内容。

示例

    filter {
      elastic_integration {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      elastic_integration {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加字段 foo_hello（如果存在），其值为上述值，并将 %{host} 部分替换为事件中的该值。第二个示例还将添加一个硬编码字段。

如果此过滤器成功，则向事件添加任意标签。标签可以是动态的，并可以使用 %{field} 语法包含事件的部分内容。

示例

    filter {
      elastic_integration {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      elastic_integration {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加标签 foo_hello（第二个示例当然会添加 taggedy_tag 标签）。

禁用或启用此特定插件实例的指标记录。默认情况下，我们会记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个 ID。强烈建议您在配置中设置此 ID。当您有两个或多个相同类型的插件时，例如，如果您有 2 个 elastic_integration 过滤器，这将特别有用。在这种情况下，添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      elastic_integration {
        id => "ABC"
      }
    }

定期调用过滤器 flush 方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并可以使用 %{field} 示例

    filter {
      elastic_integration {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      elastic_integration {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除名称为 foo_hello 的字段（如果存在）。第二个示例将删除一个额外的非动态字段。

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并可以使用 %{field} 语法包含事件的部分内容。

示例

    filter {
      elastic_integration {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      elastic_integration {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除标签 foo_hello（如果存在）。第二个示例还将删除一个不需要的标签。