设置	输入类型	必需
`ecs_compatibility`	字符串	否
`facility_labels`	数组	否
`grok_pattern`	字符串	否
`host`	字符串	否
`locale`	字符串	否
`port`	数字	否
`proxy_protocol`	布尔值	否
`severity_labels`	数组	否
`syslog_field`	字符串	否
`timezone`	字符串	否
`use_labels`	布尔值	否

另请参阅通用选项，以获取所有输入插件支持的选项列表。

`ecs_compatibility`

编辑

值类型为字符串
支持的值为
- disabled：不使用与 ECS 兼容的字段名称（例如，syslog 优先级的 priority）
- v1,v8：使用与 Elastic Common Schema 兼容的字段（例如，[log][syslog][priority]）
默认值取决于正在运行的 Logstash 版本
- 当 Logstash 提供 pipeline.ecs_compatibility 设置时，其值将用作默认值
- 否则，默认值为 disabled。

控制此插件与 Elastic Common Schema (ECS) 的兼容性。

`facility_labels`

编辑

值类型为数组
默认值为 ["kernel", "user-level", "mail", "system", "security/authorization", "syslogd", "line printer", "network news", "UUCP", "clock", "security/authorization", "FTP", "NTP", "log audit", "log alert", "clock", "local0", "local1", "local2", "local3", "local4", "local5", "local6", "local7"]

RFC3164 中定义的设施级别的标签。

您可以使用此选项覆盖行为与 RFC 不同的 syslog 输入的整数→标签映射。

提供一个零索引数组，其中包含所有设施标签，按顺序排列。如果日志消息包含一个没有对应条目的设施编号，则不会将 facility_label 添加到事件中。

`grok_pattern`

编辑

值类型为字符串
默认值为 "<%{POSINT:priority}>%{SYSLOGLINE}"
默认值取决于 ecs_compatibility 是否启用
- ECS 兼容性禁用："<%{POSINT:priority}>%{SYSLOGLINE}"
- ECS 兼容性启用："<%{POSINT:[log][syslog][priority]:int}>%{SYSLOGLINE}"

默认值应读取并正确解析与 RFC3164 完全兼容的 syslog 行。

您可以覆盖此值以使用有效的 grok 模式解析非标准行，该模式将解析收到的行。如果无法解析该行，则将添加 _grokparsefailure_sysloginput 标签。

grok 模式必须提供一个 timestamp 字段。如果省略 timestamp 字段，或者无法将其解析为 RFC3164 样式或 ISO8601，则将添加 _dateparsefailure 标签。

`host`

编辑

值类型为字符串
默认值为 "0.0.0.0"

要侦听的地址。

`locale`

编辑

值类型为字符串
此设置没有默认值。

指定用于日期解析的区域设置，可以使用 IETF-BCP47 或 POSIX 语言标签。简单的示例是 BCP47 的 en,en-US 或 POSIX 的 en_US。如果未指定，则将使用平台默认值。

区域设置主要需要设置为解析月份名称（带有 MMM 的模式）和星期几名称（带有 EEE 的模式）。

`port`

编辑

值类型为数字
默认值为 514

要侦听的端口。请记住，小于 1024（特权端口）的端口可能需要 root 才能使用。

`proxy_protocol`

编辑

值类型为布尔值
默认值为 false

代理协议支持，目前仅支持 v1 http://www.haproxy.org/download/1.5/doc/proxy-protocol.txt

`severity_labels`

编辑

值类型为数组
默认值为 ["Emergency", "Alert", "Critical", "Error", "Warning", "Notice", "Informational", "Debug"]

RFC3164 中定义的严重性级别的标签。

提供一个零索引数组，其中包含所有严重性标签，按顺序排列。如果日志消息包含一个没有对应条目的严重性标签，则不会将 severity_label 添加到事件中。

`syslog_field`

编辑

值类型为字符串
默认值为 "message"

编解码器在解析其余数据之前处理数据。某些编解码器（如 CEF）在预处理数据后将 syslog 数据放入另一个字段中。在这种情况下，将此选项与 grok_pattern 配置结合使用，以允许 syslog 输入插件完全解析 syslog 数据。

input {
  syslog {
    port => 12345
    codec => cef
    syslog_field => "syslog"
    grok_pattern => "<%{POSINT:priority}>%{SYSLOGTIMESTAMP:timestamp} CUSTOM GROK HERE"
  }
}

`timezone`

编辑

值类型为字符串
此设置没有默认值。

指定用于日期解析的时区规范 ID。有效 ID 列在 [Joda.org 可用时区页面] (http://joda-time.sourceforge.net/timezones.html) 上。如果无法从值中提取时区，并且不是平台默认值，则这很有用。如果未指定，则将使用平台默认值。规范 ID 很好，因为它会为您处理夏令时。例如，America/Los_Angeles 或 Europe/Paris 是有效的 ID。

`use_labels`

编辑

值类型为布尔值
默认值为 true

对严重性和设施级别使用标签解析。

通用选项

编辑

所有输入插件都支持这些配置选项

设置	输入类型	必需
`add_field`	哈希	否
`codec`	codec	否
`enable_metric`	布尔值	否
`id`	字符串	否
`tags`	数组	否
`type`	字符串	否

`add_field`

编辑

值类型为哈希
默认值为 {}

向事件添加字段

`codec`

编辑

值类型为编解码器
默认值为 "plain"

用于输入数据的编解码器。输入编解码器是在数据进入输入之前对其进行解码的便捷方法，无需在 Logstash 管道中使用单独的过滤器。

`enable_metric`

编辑

值类型为布尔值
默认值为 true

禁用或启用此特定插件实例的指标日志记录，默认情况下，我们会记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

`id`

编辑

值类型为字符串
此设置没有默认值。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议在您的配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有 2 个 syslog 输入。在这种情况下，添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

input {
  syslog {
    id => "my_plugin_id"
  }
}

id 字段中的变量替换仅支持环境变量，不支持使用密钥存储中的值。

`tags`

编辑

值类型为数组
此设置没有默认值。

向您的事件添加任意数量的任意标签。

这可以帮助以后进行处理。

`type`

编辑

值类型为字符串
此设置没有默认值。

为该输入处理的所有事件添加一个type字段。

类型主要用于过滤器激活。

类型存储在事件本身中，因此您也可以使用类型在 Kibana 中搜索它。

如果您尝试在已经具有类型的事件上设置类型（例如，当您从发送方发送事件到索引器时），则新的输入不会覆盖现有类型。即使发送到另一个 Logstash 服务器，在发送方设置的类型也会一直保留在该事件中。

« Stomp 输入插件 Tcp 输入插件 »