Elasticsearch 过滤器插件

从 Elasticsearch 响应中复制到 Logstash 事件字段的聚合名称的哈希表

示例

    filter {
      elasticsearch {
        aggregation_fields => {
          "my_agg_name" => "my_ls_field"
        }
      }
    }

使用 Elasticsearch API 密钥进行身份验证。请注意，此选项还需要启用 ssl_enabled 选项。

格式为 id:api_key，其中 id 和 api_key 与 Elasticsearch 创建 API 密钥 API 返回的值相同。

要信任的 SSL 证书颁发机构的 SHA-256 指纹，例如 Elasticsearch 集群的自动生成的自签名 CA。

云身份验证字符串（“<username>:<password>” 格式）是 user/password 对的替代方案。

有关更多信息，请查看 Logstash 到云文档。

来自 Elastic Cloud Web 控制台的云 ID。如果设置了 hosts，则不应使用。

有关更多信息，请查看 Logstash 到云文档。

要从旧事件（通过 elasticsearch 找到）复制到新事件的 docinfo 字段的哈希表

示例

    filter {
      elasticsearch {
        docinfo_fields => {
          "_id" => "document_id"
          "_index" => "document_index"
        }
      }
    }

结果是否应该排序

要从旧事件（通过 elasticsearch 找到）复制到当前正在处理的新事件的字段数组。

在以下示例中，通过 elasticsearch 找到的事件上的 @timestamp 和 event_id 的值分别复制到当前事件的 started 和 start_id 字段中

fields => {
  "@timestamp" => "started"
  "event_id" => "start_id"
}

用于查询的 elasticsearch 主机列表。

要搜索的索引名称的逗号分隔列表；使用 _all 或空字符串对所有索引执行操作。字段替换（例如 index-name-%{date_field}）可用

基本身份验证 - 密码

设置转发 HTTP 代理的地址。空字符串被视为未设置代理，在使用环境变量时很有用，例如 proxy => '${LS_PROXY:}'。

Elasticsearch 查询字符串。更多信息请参见 Elasticsearch 查询字符串文档。使用 query 或 query_template。

Elasticsearch 查询的 DSL 格式文件路径。更多信息请参见 Elasticsearch 查询文档。使用 query 或 query_template。

返回的结果数量

重试单个失败请求的次数。

启用后，重试导致连接错误或 HTTP 状态码包含在 retry_on_status 中的请求。

使用 retry_on_failure 时，哪些 HTTP 状态码被视为重试（除了连接错误）。

定义排序顺序的 <field>:<direction> 对的逗号分隔列表

用于验证客户端的 SSL 证书。此证书应为 OpenSSL 风格的 X.509 证书文件。

用于验证服务器证书的 .cer 或 .pem 文件。

要使用的密码套件列表，按优先级列出。支持的密码套件因 Java 和协议版本而异。

启用与 Elasticsearch 集群的安全 SSL/TLS 通信。未指定此选项将使用在 hosts 中列出的 URL 中指定的方案或从 cloud_id 中提取的方案。如果未指定显式协议，将使用普通 HTTP。

与 ssl_certificate 相对应的 OpenSSL 风格的 RSA 私钥。

设置密钥库密码

用于向服务器呈现证书的密钥库。它可以是 .jks 或 .p12

密钥库文件的格式。它必须是 jks 或 pkcs12。

建立与 Elasticsearch 集群连接时要使用的允许的 SSL/TLS 版本列表。

对于 Java 8，'TLSv1.3' 仅从 8u262（AdoptOpenJDK）开始支持，但要求您在 Logstash 中设置 LS_JAVA_OPTS="-Djdk.tls.client.protocols=TLSv1.3" 系统属性。

设置信任库密码

用于验证服务器证书的信任库。它可以是 .jks 或 .p12。

信任库文件的格式。它必须是 jks 或 pkcs12。

定义如何验证 TLS 连接中另一方提供的证书

full 验证服务器证书的颁发日期是否在 not_before 和 not_after 日期范围内；链接到受信任的证书颁发机构 (CA)，并且具有与证书中的名称匹配的主机名或 IP 地址。

none 不执行证书验证。

在查找先前日志事件信息失败时标记事件。这可以在以后的分析中使用。

基本身份验证 - 用户名

SSL 证书颁发机构文件

SSL

用于向服务器提供证书的密钥库。它可以是 .jks 或 .p12

设置密钥库密码

如果此过滤器成功，则将任何任意字段添加到此事件。字段名称可以是动态的，并使用 %{field} 包含事件的一部分。

示例

    filter {
      elasticsearch {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      elasticsearch {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加字段 foo_hello（如果存在），其值为上述值，并且 %{host} 部分将被事件中的该值替换。第二个示例还将添加一个硬编码字段。

如果此过滤器成功，则将任意标签添加到事件。标签可以是动态的，并使用 %{field} 语法包含事件的一部分。

示例

    filter {
      elasticsearch {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      elasticsearch {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加标签 foo_hello（当然，第二个示例将添加一个 taggedy_tag 标签）。

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

向插件配置添加一个唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有两个 elasticsearch 过滤器。在这种情况下，添加一个命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      elasticsearch {
        id => "ABC"
      }
    }

以定期间隔调用过滤器刷新方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并使用 %{field} 示例包含事件的一部分

    filter {
      elasticsearch {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      elasticsearch {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除名为 foo_hello 的字段（如果存在）。第二个示例将删除一个额外的非动态字段。

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并使用 %{field} 语法包含事件的一部分。

示例

    filter {
      elasticsearch {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      elasticsearch {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除标签 foo_hello（如果存在）。第二个示例还将删除一个令人沮丧的、不需要的标签。