Syslog 输入插件

控制此插件与Elastic Common Schema (ECS)的兼容性。

RFC3164 中定义的设施级别的标签。

您可以使用此选项覆盖与 RFC 行为不同的 syslog 输入的整数→标签映射。

提供一个零索引数组，其中包含所有设施标签*按顺序*排列。如果日志消息包含没有对应条目的设施编号，则不会将 facility_label 添加到事件中。

默认值应读取并正确解析完全符合RFC3164的 syslog 行。

您可以覆盖此值，以使用有效的 grok 模式解析非标准行，该模式将解析接收到的行。如果无法解析该行，则会添加 _grokparsefailure_sysloginput 标签。

grok 模式必须提供 timestamp 字段。如果省略了 timestamp 字段，或者无法将其解析为 RFC3164 样式或 ISO8601，则会添加 _dateparsefailure 标签。

要侦听的地址。

使用 IETF-BCP47 或 POSIX 语言标签指定用于日期解析的区域设置。简单的例子是 BCP47 的 en、en-US 或 POSIX 的 en_US。如果未指定，则将使用平台默认值。

通常，需要设置区域设置才能解析月份名称（带有 MMM 的模式）和星期几名称（带有 EEE 的模式）。

要侦听的端口。请记住，小于 1024 的端口（特权端口）可能需要 root 权限才能使用。

代理协议支持，目前仅支持 v1 http://www.haproxy.org/download/1.5/doc/proxy-protocol.txt

RFC3164 中定义的严重性级别的标签。

提供一个零索引数组，其中包含所有严重性标签*按顺序*排列。如果日志消息包含没有对应条目的严重性标签，则不会将 severity_label 添加到事件中。

编解码器在解析其余数据之前处理数据。某些编解码器（如 CEF）在预处理数据后将 syslog 数据放入另一个字段。在这种情况下，请将此选项与 grok_pattern 配置结合使用，以允许 syslog 输入插件完全解析 syslog 数据。

input {
  syslog {
    port => 12345
    codec => cef
    syslog_field => "syslog"
    grok_pattern => "<%{POSINT:priority}>%{SYSLOGTIMESTAMP:timestamp} CUSTOM GROK HERE"
  }
}

指定用于日期解析的时区规范 ID。有效 ID 列在 [Joda.org 可用时区页面](http://joda-time.sourceforge.net/timezones.html) 上。如果无法从值中提取时区，并且该时区不是平台默认值，则此选项很有用。如果未指定，则将使用平台默认值。规范 ID 很好，因为它会为您处理夏令时。例如，America/Los_Angeles 或 Europe/Paris 是有效的 ID。

对严重性和设施级别使用标签解析。

向事件添加字段

用于输入数据的编解码器。输入编解码器是一种方便的方法，用于在数据进入输入之前对其进行解码，而无需在 Logstash 管道中使用单独的过滤器。

默认情况下，我们会记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

为插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，例如，如果您有 2 个 syslog 输入，这将特别有用。在这种情况下，添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

input {
  syslog {
    id => "my_plugin_id"
  }
}

向事件添加任意数量的自定义标签。

这有助于以后的处理。

为此输入处理的所有事件添加 type 字段。

类型主要用于过滤器激活。

类型作为事件本身的一部分存储，因此您也可以使用类型在 Kibana 中搜索它。

如果您尝试在已有类型的事件上设置类型（例如，当您将事件从传送器发送到索引器时），则新输入不会覆盖现有类型。在传送器上设置的类型会伴随该事件的整个生命周期，即使将其发送到另一个 Logstash 服务器也是如此。