Elastic 集成过滤器插件

Elastic 集成旨在与数据流和与 ECS 兼容的输出一起使用。请确保在output-elasticsearch插件中启用这些功能。

请查看output-elasticsearch 插件文档以了解其他设置。

通过 SSL 通信时，此插件使用系统信任存储完全验证 Elasticsearch 提供的身份证明。您可以使用以下其中一种方式提供备用信任源

您还可以配置验证身份证明的哪些方面（请参阅ssl_verification_mode）。

通过 SSL 通信时，您还可以配置此插件，以使用以下其中一种方式向其连接的 Elasticsearch 集群提供基于证书的身份证明

您可以配置此插件以通过以下几种方式之一向 Elasticsearch 提供身份验证凭据

在执行期间，Ingest 管道使用一个称为 ingest 文档的 Logstash 事件的临时可变视图。此视图包含事件中所有结构化的字段，并进行最少的类型转换。

它还包含 ingest 管道处理器所需的其他元数据字段

执行完成后，会对事件进行清理，以确保 Logstash 保留字段具有预期的形状，并为任何缺失的必需字段提供合理的默认值。当 ingest 管道将保留字段设置为无法强制转换的值时，该值将按如下所述在事件的备用位置中提供。

此外，这些 Elasticsearch IngestDocument 元数据字段只有在管道执行期间设置时才会在生成的事件中提供

用于向 Elasticsearch 验证此插件的 API 密钥的编码形式。

云身份验证字符串（“<username>:<password>”格式）是 username/password 对的替代方案，可以从 Elastic Cloud Web 控制台中获取。

云 ID，来自 Elastic Cloud Web 控制台。

使用云 ID 连接时，与 Elasticsearch 的通信将使用 SSL 进行保护。

有关更多详细信息，请查看 Logstash 到云的文档。

在启用 Geoip 数据库管理的 Logstash 进程中运行时，使用 Geoip 处理器的集成将默认使用托管的 Maxmind 数据库。使用托管数据库即表示您接受并同意 MaxMind EULA。

您也可以使用包含数据库文件的本地目录的路径配置此插件。

此插件将发现所提供目录中所有带有 .mmdb 后缀的常规文件，并通过其文件名使其在集成管道中的 GeoIp 处理器中可用。它希望找到的文件采用 MaxMind DB 格式，并具有以下数据库类型之一：

要连接的非空 Elasticsearch 主机列表。

示例

使用主机列表连接时，除非另行配置，否则与 Elasticsearch 的通信将使用 SSL 进行保护。

使用 HTTP 基本身份验证连接到 Elasticsearch 时的密码。

用于向 Elasticsearch 标识此插件的 PEM 编码证书或证书链的路径。

定义证书颁发机构的一个或多个 PEM 格式文件。

此设置可用于覆盖系统信任存储，以验证 Elasticsearch 提供的 SSL 证书。

除非显式禁用，否则启用与 Elasticsearch 的安全 SSL 通信

指定 ssl_enabled => true 可以作为有用的冗余安全措施，以确保此插件无法配置为使用非 SSL 通信。

PKCS8 格式的 SSL 证书密钥的路径。

ssl_keystore_path 的密码。

用于向 Elasticsearch 标识此插件的 JKS 或 PKCS12 格式的密钥库的路径。

ssl_key 的密码或口令。

JKS 或 PKCS12 格式的密钥库的路径，其中存放受信任的证书。

此设置可用于覆盖系统信任存储，以验证 Elasticsearch 提供的 SSL 证书。

ssl_truststore_path 的密码。

Elasticsearch 提供的证书的验证级别。

默认情况下，将完全验证 Elasticsearch 提供的 SSL 证书。

当使用 HTTP 基本身份验证连接到 Elasticsearch 时使用的用户名。

如果此过滤器成功，则将任意字段添加到此事件。字段名称可以是动态的，并使用 %{field} 包含事件的一部分。

示例

    filter {
      elastic_integration {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      elastic_integration {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时，如果存在字段 foo_hello，则会添加该字段，其值为上面的值，并且 %{host} 部分将替换为事件中的该值。第二个示例还将添加硬编码的字段。

如果此过滤器成功，则将任意标签添加到事件。标签可以是动态的，并使用 %{field} 语法包含事件的一部分。

示例

    filter {
      elastic_integration {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      elastic_integration {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时，将添加标签 foo_hello （第二个示例当然会添加 taggedy_tag 标签）。

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可用的指标，但您可以禁用特定插件的指标收集。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有 2 个 elastic_integration 过滤器。在这种情况下添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      elastic_integration {
        id => "ABC"
      }
    }

定期调用过滤器刷新方法。可选。

如果此过滤器成功，则从事件中删除任意字段。字段名称可以是动态的，并使用 %{field} 包含事件的一部分。示例

    filter {
      elastic_integration {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      elastic_integration {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时，如果存在名称为 foo_hello 的字段，则会删除该字段。第二个示例将删除一个额外的、非动态的字段。

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并使用 %{field} 语法包含事件的一部分。

示例

    filter {
      elastic_integration {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      elastic_integration {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时，如果存在标签 foo_hello，则会删除该标签。第二个示例也会删除一个不想要的、令人伤心的标签。