Elastic 集成过滤器插件

Elastic 集成旨在与 数据流 和 兼容 ECS 的输出配合使用。请确保在 output-elasticsearch 插件中启用了这些功能。

有关其他设置，请查看 output-elasticsearch 插件 文档。

SSL 信任配置

包含受信任证书的 JKS 或 PKCS12 格式密钥库（参见 ssl_truststore_path）

SSL 身份配置

请求身份

在执行过程中，Ingest pipeline 使用 Logstash 事件的临时可变 *视图*，称为 ingest 文档。此视图包含事件中所有结构化字段，并进行最少的类型转换。

它还包含 ingest pipeline 处理器所需的附加元数据字段。

执行完成后，将对事件进行清理，以确保 Logstash 保留字段具有预期的形状，并为任何缺少的必需字段提供合理的默认值。当 ingest pipeline 将保留字段设置为无法强制转换的值时，该值将在事件的备用位置提供，如下所述。

此外，如果且仅当这些 Elasticsearch IngestDocument 元数据字段在 pipeline 执行期间设置时，它们才会在生成的事件中可用。

用于向 Elasticsearch 身份验证此插件的 API 密钥的编码形式。

云身份验证字符串（“<用户名>:<密码>” 格式）是 username/password 对的替代方法，可从 Elastic Cloud 网络控制台获取。

来自 Elastic Cloud 网络控制台的云 ID。

使用云 ID 连接时，与 Elasticsearch 的通信使用 SSL 保护。

更多详情，请查看 Logstash 到云文档。

在启用了 Geoip 数据库管理的 Logstash 进程中运行时，使用 Geoip 处理器的集成默认情况下将使用托管的 Maxmind 数据库。使用托管数据库即表示您接受并同意 MaxMind EULA。

您可以使用包含数据库文件的本地目录的路径来配置此插件。

此插件将发现提供的目录中所有带有 .mmdb 后缀的常规文件，并通过其文件名向集成 pipeline 中的 GeoIp 处理器提供每个文件。它期望找到的文件采用 MaxMind DB 格式，并具有以下数据库类型之一：

要连接的 Elasticsearch 主机非空列表。

示例

使用主机列表连接时，除非另行配置，否则与 Elasticsearch 的通信使用 SSL 保护。

使用 HTTP 基本身份验证连接到 Elasticsearch 时的密码。

PEM 编码证书或证书链的路径，用于向 Elasticsearch 标识此插件。

一个或多个定义证书颁发机构的 PEM 格式文件。

此设置可用于*覆盖*系统信任库，以验证 Elasticsearch 提供的 SSL 证书。

除非以下情况，否则启用与 Elasticsearch 的安全 SSL 通信：

指定 ssl_enabled => true 可以作为有用的冗余安全措施，以确保此插件无法配置为使用非 ssl 通信。

PKCS8 格式的 SSL 证书密钥的路径。

ssl_keystore_path 的密码。

JKS 或 PKCS12 格式密钥库的路径，用于识别此插件与 Elasticsearch 的连接。

ssl_key 的密码或口令。

JKS 或 PKCS12 格式密钥库的路径，其中包含受信任的证书。

此设置可用于*覆盖*系统信任库，以验证 Elasticsearch 提供的 SSL 证书。

ssl_truststore_path 的密码。

Elasticsearch 提供的证书的验证级别。

默认情况下，Elasticsearch 提供的 SSL 证书将进行完全验证。

使用 HTTP 基本身份验证连接到 Elasticsearch 时的用户名。

如果此过滤器成功，则向此事件添加任意字段。字段名称可以是动态的，并包含使用 %{field} 的事件部分。

示例

    filter {
      elastic_integration {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      elastic_integration {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器成功后，如果存在，将添加字段 foo_hello，其值为上述值，并将 %{host} 部分替换为事件中的该值。第二个示例还将添加一个硬编码字段。

如果此过滤器成功，则向事件添加任意标签。标签可以是动态的，并包含使用 %{field} 语法的事件部分。

示例

    filter {
      elastic_integration {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      elastic_integration {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器成功后，将添加标签 foo_hello（第二个示例当然会添加 taggedy_tag 标签）。

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

向插件配置添加唯一的 ID。如果没有指定 ID，Logstash 将生成一个。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有两个 elastic_integration 过滤器。在这种情况下，添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      elastic_integration {
        id => "ABC"
      }
    }

定期调用过滤器刷新方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并包含使用 %{field} 的事件部分 示例

    filter {
      elastic_integration {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      elastic_integration {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器成功后，如果存在，将删除名为 foo_hello 的字段。第二个示例将删除另一个非动态字段。

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并包含使用 %{field} 语法的事件部分。

示例

    filter {
      elastic_integration {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      elastic_integration {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器成功后，如果存在，将删除标签 foo_hello。第二个示例还将删除一个不需要的标签。