Elasticsearch 过滤器插件

要从 elasticsearch 响应复制到 Logstash 事件字段的聚合名称的哈希

示例

    filter {
      elasticsearch {
        aggregation_fields => {
          "my_agg_name" => "my_ls_field"
        }
      }
    }

使用 Elasticsearch API 密钥进行身份验证。请注意，此选项还需要启用 ssl_enabled 选项。

格式为 id:api_key，其中 id 和 api_key 由 Elasticsearch 创建 API 密钥 API 返回。

要信任的 SSL 证书颁发机构的 SHA-256 指纹，例如 Elasticsearch 集群的自动生成的自签名 CA。

云身份验证字符串（“<用户名>:<密码>” 格式）是 user/ password 对的替代方案。

有关更多信息，请查看 Logstash 到云的文档。

来自 Elastic Cloud Web 控制台的 Cloud ID。如果设置了 hosts，则不应使用。

有关更多信息，请查看 Logstash 到云的文档。

要从旧事件（通过 elasticsearch 查找）复制到新事件的 docinfo 字段的哈希

示例

    filter {
      elasticsearch {
        docinfo_fields => {
          "_id" => "document_id"
          "_index" => "document_index"
        }
      }
    }

是否应排序结果

要从旧事件（通过 elasticsearch 查找）复制到当前正在处理的新事件的字段数组。

在以下示例中，通过 elasticsearch 找到的事件的 @timestamp 和 event_id 的值分别复制到当前事件的 started 和 start_id 字段

fields => {
  "@timestamp" => "started"
  "event_id" => "start_id"
}

用于查询的 elasticsearch 主机列表。

要搜索的索引名称的逗号分隔列表；使用 _all 或空字符串以对所有索引执行操作。可以使用字段替换（例如，index-name-%{date_field}）

基本身份验证 - 密码

设置转发 HTTP 代理的地址。空字符串被视为未设置代理，并且在使用环境变量时很有用，例如 proxy => '${LS_PROXY:}'。

Elasticsearch 查询字符串。有关更多信息，请参见Elasticsearch 查询字符串文档。使用 query 或 query_template。

采用 DSL 格式的 elasticsearch 查询的文件路径。有关更多信息，请参见Elasticsearch 查询文档。使用 query 或 query_template。

要返回多少个结果

重试单个失败请求的次数。

启用后，重试导致连接错误或 HTTP 状态代码包含在retry_on_status中的请求

在使用retry_on_failure时，要考虑用于重试的 HTTP 状态代码（除了连接错误之外）

定义排序顺序的 <字段>:<方向> 对的逗号分隔列表

用于验证客户端身份的 SSL 证书。此证书应该是 OpenSSL 样式的 X.509 证书文件。

用于验证服务器证书的 .cer 或 .pem 文件。

要使用的密码套件列表，按优先级列出。支持的密码套件因 Java 和协议版本而异。

启用与 Elasticsearch 集群的 SSL/TLS 安全通信。如果未指定，将使用 hosts 中列出的 URL 中指定的任何方案，或从 cloud_id 中提取的方案。如果未指定显式协议，则将使用纯 HTTP。

与 ssl_certificate 对应的 OpenSSL 样式的 RSA 私钥。

设置密钥库密码

用于向服务器呈现证书的密钥库。它可以是 .jks 或 .p12

密钥库文件的格式。它必须是 jks 或 pkcs12。

建立与 Elasticsearch 集群的连接时，允许使用的 SSL/TLS 版本列表。

对于 Java 8，'TLSv1.3' 仅在 8u262 (AdoptOpenJDK) 及更高版本中受支持，但需要您在 Logstash 中设置 LS_JAVA_OPTS="-Djdk.tls.client.protocols=TLSv1.3" 系统属性。

设置信任库密码

用于验证服务器证书的信任库。它可以是 .jks 或 .p12。

信任库文件的格式。它必须是 jks 或 pkcs12。

定义如何验证 TLS 连接中另一方提供的证书

full 验证服务器证书是否具有在 not_before 和 not_after 日期之间的颁发日期；链接到受信任的证书颁发机构 (CA)，并且具有与证书中的名称匹配的主机名或 IP 地址。

none 不执行任何证书验证。

在查找先前日志事件信息失败时标记该事件。这可用于后续分析。

基本身份验证 - 用户名

SSL 证书颁发机构文件

SSL

用于向服务器呈现证书的密钥库。它可以是 .jks 或 .p12

设置密钥库密码

如果此过滤器成功，则向此事件添加任何任意字段。字段名称可以是动态的，并使用 %{field} 包括事件的各个部分。

示例

    filter {
      elasticsearch {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      elasticsearch {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件的字段为 "somefield" == "hello"，则此过滤器在成功时将添加字段 foo_hello（如果存在），其值为上述值，并将 %{host} 部分替换为事件中的该值。第二个示例还将添加一个硬编码字段。

如果此过滤器成功，则向该事件添加任意标签。标签可以是动态的，并使用 %{field} 语法包括事件的各个部分。

示例

    filter {
      elasticsearch {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      elasticsearch {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件的字段为 "somefield" == "hello"，则此过滤器在成功时将添加标签 foo_hello（第二个示例当然会添加 taggedy_tag 标签）。

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议在您的配置中设置此 ID。当您有两个或多个相同类型的插件时，此功能特别有用，例如，如果您有 2 个 Elasticsearch 过滤器。在这种情况下添加命名的 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      elasticsearch {
        id => "ABC"
      }
    }

定期调用过滤器刷新方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并使用 %{field} 包括事件的各个部分。示例

    filter {
      elasticsearch {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      elasticsearch {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件的字段为 "somefield" == "hello"，则此过滤器在成功时将删除名为 foo_hello 的字段（如果存在）。第二个示例将删除一个额外的、非动态字段。

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并使用 %{field} 语法包括事件的各个部分。

示例

    filter {
      elasticsearch {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      elasticsearch {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件的字段为 "somefield" == "hello"，则此过滤器在成功时将删除标签 foo_hello（如果存在）。第二个示例还将删除一个令人沮丧的、不需要的标签。