Elapsed 过滤器插件

用于标识“结束事件”的标签的名称

此属性管理当“结束事件”与“开始事件”匹配时要执行的操作。如果将其设置为 false（默认值），则将经过时间信息添加到“结束事件”；如果将其设置为 true，则会创建一个新的“匹配事件”。

用于标识“开始事件”的标签的名称

在经过此秒数后，“结束事件”可以被视为丢失。相应的“开始事件”将被丢弃，并生成“过期事件”。默认值为 30 分钟（1800 秒）。

包含任务 ID 的字段的名称。此值必须唯一标识系统中的任务，否则无法匹配这对事件。

此属性管理当在指定 ID 的结束事件之前接收到多个匹配为开始事件的事件时要执行的操作。有两个支持的值：first 或 last。如果设置为 first（默认值），则将使用匹配的第一个事件作为开始事件；如果设置为 last，则将使用最后一个事件。

如果此过滤器成功，则向此事件添加任何任意字段。字段名称可以是动态的，并且可以使用 %{field} 来包含事件的部分。

示例

    filter {
      elapsed {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      elapsed {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功后，如果存在字段 foo_hello，则会添加该字段，其值为上面所示的值，并且 %{host} 部分将替换为事件中的该值。第二个示例还将添加一个硬编码的字段。

如果此过滤器成功，则向事件添加任意标签。标签可以是动态的，并且可以使用 %{field} 语法来包含事件的部分。

示例

    filter {
      elapsed {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      elapsed {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功后，会添加一个标签 foo_hello（第二个示例当然会添加一个 taggedy_tag 标签）。

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可以记录的指标，但是您可以禁用特定插件的指标收集。

向插件配置添加唯一的 ID。如果未指定 ID，则 Logstash 将生成一个 ID。强烈建议在您的配置中设置此 ID。当您有两个或多个相同类型的插件时，例如，如果您有 2 个 elapsed 过滤器，则此操作特别有用。在这种情况下添加命名的 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      elapsed {
        id => "ABC"
      }
    }

以固定的时间间隔调用过滤器刷新方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并且可以使用 %{field} 来包含事件的部分。示例

    filter {
      elapsed {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      elapsed {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功后，如果存在名称为 foo_hello 的字段，则会删除该字段。第二个示例将删除一个额外的非动态字段。

如果此过滤器成功，则从此事件中删除任意标签。标签可以是动态的，并且可以使用 %{field} 语法来包含事件的部分。

示例

    filter {
      elapsed {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      elapsed {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功后，如果存在标签 foo_hello，则会删除该标签。第二个示例还将删除一个不想要的标签。