Elastic 集成过滤器插件

Elastic 集成旨在与 数据流 和 ECS 兼容 输出一起使用。请确保在 output-elasticsearch 插件中启用了这些功能。

有关其他设置，请查看 output-elasticsearch 插件 文档。

在通过 SSL 通信时，此插件使用系统信任存储完全验证 Elasticsearch 提供的身份证明。您可以使用以下一项提供备用信任来源

您还可以配置身份证明的哪些方面将被验证（请参阅 ssl_verification_mode）。

在通过 SSL 通信时，您还可以配置此插件以使用以下一项向其连接到的 Elasticsearch 集群呈现基于证书的身份证明

您可以配置此插件以通过以下几种方式之一向 Elasticsearch 呈现身份验证凭据

在执行过程中，摄取管道使用 Logstash 事件的临时可变视图，称为摄取文档。此视图包含来自事件的所有结构化字段，并进行最少的类型转换。

它还包含摄取管道处理器所需的额外元数据字段。

执行完成后，事件将被清理，以确保 Logstash 保留的字段具有预期的形状，并为任何缺少的必需字段提供合理的默认值。当摄取管道将保留字段设置为无法强制转换的值时，该值将在事件的备用位置提供，如下所述。

此外，这些 Elasticsearch IngestDocument 元数据字段将在结果事件中提供，当且仅当它们在管道执行期间设置时。

用于将此插件身份验证到 Elasticsearch 的 API 密钥的编码形式。

云身份验证字符串（“<username>:<password>” 格式）是 username/password 对的替代方案，可以从 Elastic Cloud 网页控制台获取。

来自 Elastic Cloud 网页控制台的云 ID。

使用云 ID 连接时，与 Elasticsearch 的通信将使用 SSL 保护。

有关更多详细信息，请查看Logstash 到云文档。

在启用 Geoip 数据库管理的 Logstash 进程中运行时，使用 Geoip 处理器的集成默认情况下将使用托管的 Maxmind 数据库。使用托管数据库，即表示您接受并同意MaxMind EULA。

您可以改为使用包含数据库文件的本地目录的路径配置此插件。

此插件将在提供的目录中发现所有具有.mmdb 后缀的常规文件，并通过其文件名使每个文件对集成管道中的 GeoIp 处理器可用。它期望找到的文件采用 MaxMind DB 格式，并具有以下数据库类型之一

要连接的 Elasticsearch 主机列表（非空）。

示例

使用主机列表连接时，与 Elasticsearch 的通信将使用 SSL 保护，除非另有配置。

使用 HTTP 基本身份验证连接到 Elasticsearch 时使用的密码。

PEM 编码证书或证书链的路径，用于将此插件标识到 Elasticsearch。

一个或多个定义证书颁发机构的 PEM 格式文件。

此设置可用于 *覆盖* 系统信任存储，以验证 Elasticsearch 提供的 SSL 证书。

除非以下情况，否则将启用与 Elasticsearch 的安全 SSL 通信

指定 ssl_enabled => true 可以作为有用的冗余安全措施，以确保此插件无法配置为使用非 ssl 通信。

PKCS8 格式的 SSL 证书密钥的路径。

ssl_keystore_path 的密码。

JKS 或 PKCS12 格式的密钥库的路径，用于向 Elasticsearch 标识此插件。

ssl_key 的密码或口令。

JKS 或 PKCS12 格式的密钥库的路径，其中包含受信任的证书。

此设置可用于 *覆盖* 系统信任存储，以验证 Elasticsearch 提供的 SSL 证书。

ssl_truststore_path 的密码。

验证 Elasticsearch 提供的证书的级别。

默认情况下，Elasticsearch 提供的 SSL 证书将被完全验证。

使用 HTTP 基本身份验证连接到 Elasticsearch 时的用户名。

如果此过滤器成功，则将任何任意字段添加到此事件。字段名称可以是动态的，并使用 %{field} 包含事件的一部分。

示例

    filter {
      elastic_integration {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      elastic_integration {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加字段 foo_hello（如果存在），其值为上述值，并且 %{host} 部分将替换为事件中的该值。第二个示例还将添加一个硬编码字段。

如果此过滤器成功，则将任意标签添加到事件。标签可以是动态的，并使用 %{field} 语法包含事件的一部分。

示例

    filter {
      elastic_integration {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      elastic_integration {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加标签 foo_hello（当然，第二个示例将添加 taggedy_tag 标签）。

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可能的指标，但您可以禁用特定插件的指标收集。

在插件配置中添加唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有两个 elastic_integration 过滤器。在这种情况下，添加一个命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      elastic_integration {
        id => "ABC"
      }
    }

定期调用过滤器刷新方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并使用 %{field} 示例包含事件的一部分

    filter {
      elastic_integration {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      elastic_integration {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除名为 foo_hello 的字段（如果存在）。第二个示例将删除一个额外的非动态字段。

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并使用 %{field} 语法包含事件的一部分。

示例

    filter {
      elastic_integration {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      elastic_integration {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除标签 foo_hello（如果存在）。第二个示例还将删除一个令人不快的、不需要的标签。