Elasticsearch 过滤器插件

聚合名称到将从 elasticsearch 响应复制到 Logstash 事件字段的哈希

示例

    filter {
      elasticsearch {
        aggregation_fields => {
          "my_agg_name" => "my_ls_field"
        }
      }
    }

使用 Elasticsearch API 密钥进行身份验证。请注意，此选项还需要启用 ssl_enabled 选项。

格式为 id:api_key，其中 id 和 api_key 与 Elasticsearch 创建 API 密钥 API 返回的值相同。

要信任的 SSL 证书颁发机构的 SHA-256 指纹，例如 Elasticsearch 集群的自动生成的自签名 CA。

云身份验证字符串（“<username>:<password>” 格式）是 user/password 对的替代方案。

更多信息，请查看 Logstash 到云文档。

来自 Elastic Cloud Web 控制台的云 ID。如果设置了 hosts，则不应使用。

更多信息，请查看 Logstash 到云文档。

要从旧事件（通过 elasticsearch 找到）复制到新事件的 docinfo 字段的哈希

示例

    filter {
      elasticsearch {
        docinfo_fields => {
          "_id" => "document_id"
          "_index" => "document_index"
        }
      }
    }

结果是否应排序

要从旧事件（通过 elasticsearch 找到）复制到当前正在处理的新事件的字段数组。

在以下示例中，通过 elasticsearch 找到的事件上的 @timestamp 和 event_id 的值分别复制到当前事件的 started 和 start_id 字段

fields => {
  "@timestamp" => "started"
  "event_id" => "start_id"
}

要用于查询的 elasticsearch 主机列表。

要搜索的索引名称的逗号分隔列表；使用 _all 或空字符串对所有索引执行操作。字段替换（例如 index-name-%{date_field}）可用

基本身份验证 - 密码

设置转发 HTTP 代理的地址。空字符串被视为未设置代理，在使用环境变量时很有用，例如 proxy => '${LS_PROXY:}'。

Elasticsearch 查询字符串。更多信息可在 Elasticsearch 查询字符串文档 中找到。使用 query 或 query_template。

以 DSL 格式的 elasticsearch 查询的文件路径。更多信息可在 Elasticsearch 查询文档 中找到。使用 query 或 query_template。

返回多少结果

重试单个失败请求的次数。

启用后，重试导致连接错误或 retry_on_status 中包含的 HTTP 状态代码的请求

使用 retry_on_failure 时要考虑重试的 HTTP 状态代码（除连接错误外）。

定义排序顺序的 <field>:<direction> 对的逗号分隔列表

用于对客户端进行身份验证的 SSL 证书。此证书应该是 OpenSSL 风格的 X.509 证书文件。

.cer 或 .pem 文件用于验证服务器的证书。

要使用的密码套件列表，按优先级列出。支持的密码套件因 Java 和协议版本而异。

启用与 Elasticsearch 集群的 SSL/TLS 安全通信。如果不指定此项，将使用在hosts中列出的 URL 中指定的方案，或者从cloud_id中提取的方案。如果未指定显式协议，则将使用普通 HTTP。

与ssl_certificate对应的 OpenSSL 风格的 RSA 私钥。

设置密钥库密码。

用于向服务器呈现证书的密钥库。它可以是 .jks 或 .p12 文件。

密钥库文件的格式。它必须是 jks 或 pkcs12。

建立与 Elasticsearch 集群的连接时允许使用的 SSL/TLS 版本列表。

对于 Java 8，'TLSv1.3' 仅从 8u262（AdoptOpenJDK）开始受支持，但这需要您在 Logstash 中设置 LS_JAVA_OPTS="-Djdk.tls.client.protocols=TLSv1.3" 系统属性。

设置信任库密码。

用于验证服务器证书的信任库。它可以是 .jks 或 .p12 文件。

信任库文件的格式。它必须是 jks 或 pkcs12。

定义如何在 TLS 连接中验证另一方提供的证书。

full 验证服务器证书的发行日期是否在 not_before 和 not_after 日期范围内；链到受信任的证书颁发机构 (CA)，并且主机名或 IP 地址与证书中的名称匹配。

none 不执行证书验证。

查找之前的日志事件信息失败时标记事件。这可用于以后的分析。

基本身份验证 - 用户名

SSL 证书颁发机构文件

SSL

用于向服务器呈现证书的密钥库。它可以是 .jks 或 .p12 文件。

设置密钥库密码。

如果此过滤器成功，则向此事件添加任意字段。字段名称可以是动态的，并使用 %{field} 包含事件的部分内容。

示例

    filter {
      elasticsearch {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      elasticsearch {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加字段 foo_hello（如果存在），其值为上述值，并且 %{host} 部分将替换为事件中的该值。第二个示例还将添加一个硬编码字段。

如果此过滤器成功，则向事件添加任意标签。标签可以是动态的，并使用 %{field} 语法包含事件的部分内容。

示例

    filter {
      elasticsearch {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      elasticsearch {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加标签 foo_hello（当然，第二个示例将添加 taggedy_tag 标签）。

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议您在配置中设置此 ID。当您拥有两种或多种相同类型的插件时，这尤其有用，例如，如果您有两个 elasticsearch 过滤器。在这种情况下，添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      elasticsearch {
        id => "ABC"
      }
    }

定期调用过滤器刷新方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并包含使用 %{field} 的事件部分。示例

    filter {
      elasticsearch {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      elasticsearch {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除名为 foo_hello 的字段（如果存在）。第二个示例将删除另一个非动态字段。

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并使用 %{field} 语法包含事件的部分内容。

示例

    filter {
      elasticsearch {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      elasticsearch {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除标签 foo_hello（如果存在）。第二个示例还将删除一个令人不快的无用标签。