Beats 输入插件

除了堆内存之外，此插件还使用“堆外”直接内存。默认情况下，JVM 的堆外直接内存限制与堆大小相同。例如，设置 -Xmx10G 而不设置直接内存限制将为堆分配 10GB，为直接内存分配 10GB，总共分配 20GB。您可以在 Logstash JVM 设置 中使用 -XX:MaxDirectMemorySize 设置直接内存量。建议将直接内存设置为堆大小的一半。将直接内存设置得太低会降低摄取性能。

如果您要传送跨越多行的事件，则需要使用 Filebeat 中提供的配置选项 在将事件数据发送到 Logstash 之前处理多行事件。您不能使用 多行编解码器插件 来处理多行事件。这样做会导致 Logstash 无法启动。

用于确定是否使用 Beat 在 hostname 字段中提供的值向事件添加 host 字段的标志。

要使用的密码套件列表，按优先级列出。

在非活动 X 秒后关闭空闲客户端。

有关详细信息，请参阅 ECS 映射。

示例

此配置禁用 所有 enrichments

input {
  beats {
    port => 5044
    enrich => none
  }
}

或者，要 仅 显式启用 source_metadata 和 ssl_peer_metadata（禁用所有其他 enrichments）

input {
  beats {
    port => 5044
    enrich => [source_metadata, ssl_peer_metadata]
  }
}

如果设置为 0，则实际默认值为 available_processors * 2

这是一个专家级设置，通常不需要设置。Beats 插件基于非阻塞机制实现，需要一些事件循环和执行器线程。事件循环线程负责与客户端通信（接受传入连接、排队/出队任务和响应），而执行器线程处理任务。此配置旨在限制或增加为事件循环创建的线程数。如果需要设置执行器线程数，请参阅 executor_threads 配置。

用于处理传入 Beats 请求的线程数。默认情况下，Beats 输入创建的线程数等于 CPU 核心数。这些线程处理传入连接、从已建立的套接字读取数据以及执行与网络连接管理相关的大多数任务。Lumberjack 协议的解析被卸载到专用线程池。

通常，您不需要修改此设置。如果您发送非常大的事件并观察到“OutOfDirectMemory”异常，则可能需要将此数字减少到 CPU 核心数的一半或 1/4。此更改减少了将数据批次解压缩到直接内存中的线程数。但是，这只是一个缓解措施，因为正确的解决方案可能需要调整 Logstash 部署的大小，方法是增加 Logstash 节点数或增加 JVM 的直接内存。

要监听的 IP 地址。

要监听的端口。

默认情况下，事件以纯文本形式发送。您可以通过将 ssl 设置为 true 并配置 ssl_certificate 和 ssl_key 选项来启用加密。

要使用的 SSL 证书。

根据这些证书颁发机构验证客户端证书。您可以定义多个文件或路径。所有证书都将被读取并添加到信任库中。您需要将 ssl_client_authentication 配置为 optional 或 required 才能启用验证。

要使用的密码套件列表，按优先级列出。此默认列表适用于 OpenJDK 11.0.14 及更高版本。对于较旧的 JDK 版本，默认列表仅包含该版本支持的套件。例如，ChaCha20 密码系列在旧版本中不受支持。

控制服务器在从客户端连接请求证书方面的行为：required 强制客户端提供证书，而 optional 请求客户端证书，但不要求客户端提供证书。默认为 none，这将禁用客户端身份验证。

启用双向 TLS（required 或 optional）时，客户端提供的证书必须由受信任的 ssl_certificate_authorities（CA）签名。请注意，服务器不会验证客户端证书 CN（通用名称）或 SAN（使用者可选名称）。

默认情况下，事件以纯文本形式发送。您可以通过将 ssl_enabled 设置为 true 并配置 ssl_certificate 和 ssl_key 选项来启用加密。

不完整 ssl 握手超时的毫秒数

要使用的 SSL 密钥。此密钥必须采用 PKCS8 格式并进行 PEM 编码。您可以使用 openssl pkcs8 命令完成转换。例如，将 PEM 编码的 PKCS1 私钥转换为 PEM 编码的非加密 PKCS8 密钥的命令是

openssl pkcs8 -inform PEM -in path/to/logstash.key -topk8 -nocrypt -outform PEM -out path/to/logstash.pkcs8.key

要使用的 SSL 密钥密码。

启用在事件元数据中存储客户端证书信息。

仅当 ssl_client_authentication 设置为 optional 或 required 时，此选项才有效。

建立与 HTTP 端点的连接时要使用的允许 SSL/TLS 版本列表。

对于 Java 8，仅从 8u262（AdoptOpenJDK）开始支持 'TLSv1.3'，但需要您在 Logstash 中设置 LS_JAVA_OPTS="-Djdk.tls.client.protocols=TLSv1.3" 系统属性。

默认情况下，服务器不会执行任何客户端验证。如果配置了 ssl_certificate_authorities，并且没有为此选项提供值或 none，则默认为 force_peer 而不是 none。

peer 将使服务器要求客户端提供证书。如果客户端提供了证书，则将对其进行验证。

force_peer 将使服务器要求客户端提供证书。如果客户端未提供证书，则连接将被关闭。

当启用双向 TLS（peer 或 force_peer）时，客户端提供的证书必须由受信任的 ssl_certificate_authorities（CA）签名。请注意，服务器不会验证客户端证书 CN（通用名称）或 SAN（使用者可选名称）。

允许加密连接使用的最高 TLS 版本。值必须为以下之一：1.1 表示 TLS 1.1，1.2 表示 TLS 1.2，1.3 表示 TLSv1.3

允许加密连接使用的最低 TLS 版本。值必须为以下之一：1.1 表示 TLS 1.1，1.2 表示 TLS 1.2，1.3 表示 TLS 1.3

向事件添加字段

用于输入数据的编解码器。输入编解码器是一种便捷的方法，可以在数据进入输入之前对其进行解码，而无需在 Logstash 管道中使用单独的过滤器。

默认情况下，我们会记录所有可以记录的指标，但您可以禁用特定插件的指标收集，从而禁用或启用此特定插件实例的指标日志记录。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个 ID。强烈建议您在配置中设置此 ID。当您有两个或多个相同类型的插件时（例如，如果您有两个 beats 输入），这将特别有用。在这种情况下，添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

input {
  beats {
    id => "my_plugin_id"
  }
}

向您的事件添加任意数量的任意标签。

这有助于以后的处理。

向此输入处理的所有事件添加 type 字段。

类型主要用于过滤器激活。

类型作为事件本身的一部分存储，因此您也可以使用类型在 Kibana 中搜索它。

如果您尝试在已经有类型的事件上设置类型（例如，当您将事件从传送器发送到索引器时），则新输入不会覆盖现有类型。在传送器设置的类型会一直保留在该事件中，即使将其发送到另一个 Logstash 服务器也是如此。