Syslog 输入插件

控制此插件与Elastic Common Schema (ECS)的兼容性。

RFC3164 中定义的设施级别标签。

您可以使用此选项来覆盖与 RFC 行为不同的 syslog 输入的 integer→label 映射。

提供一个零索引数组，其中包含所有设施标签，按顺序排列。如果日志消息包含没有相应条目的设施编号，则不会将 facility_label 添加到事件中。

默认值应读取并正确解析完全符合RFC3164的 syslog 行。

您可以覆盖此值，以使用有效的 grok 模式解析非标准行，该模式将解析接收到的行。如果无法解析该行，则会添加 _grokparsefailure_sysloginput 标记。

grok 模式必须提供 timestamp 字段。如果省略 timestamp 字段，或无法将其解析为 RFC3164 样式或 ISO8601，则会添加 _dateparsefailure 标记。

要侦听的地址。

指定用于日期解析的区域设置，使用 IETF-BCP47 或 POSIX 语言标签。简单示例是 BCP47 的 en、en-US 或 POSIX 的 en_US。如果未指定，将使用平台默认设置。

区域设置主要用于解析月份名称（使用 MMM 的模式）和工作日名称（使用 EEE 的模式）。

要侦听的端口。请记住，小于 1024 的端口（特权端口）可能需要 root 用户才能使用。

代理协议支持，目前仅支持 v1 http://www.haproxy.org/download/1.5/doc/proxy-protocol.txt

RFC3164 中定义的严重性级别标签。

提供一个零索引数组，其中包含所有严重性标签，按顺序排列。如果日志消息包含没有相应条目的严重性标签，则不会将 severity_label 添加到事件中。

编解码器会在解析其余数据之前处理数据。某些编解码器（如 CEF）会在预处理数据后将 syslog 数据放入另一个字段中。在这种情况下，将此选项与 grok_pattern 配置结合使用，以允许 syslog 输入插件完全解析 syslog 数据。

input {
  syslog {
    port => 12345
    codec => cef
    syslog_field => "syslog"
    grok_pattern => "<%{POSINT:priority}>%{SYSLOGTIMESTAMP:timestamp} CUSTOM GROK HERE"
  }
}

指定用于日期解析的时区规范 ID。有效 ID 列在[Joda.org 可用时区页面](http://joda-time.sourceforge.net/timezones.html)。如果无法从该值中提取时区，并且不是平台默认设置，则此选项很有用。如果未指定，则将使用平台默认设置。规范 ID 很好，因为它会为您处理夏令时。例如，America/Los_Angeles 或 Europe/Paris 是有效的 ID。

使用标签解析严重性和设施级别。

向事件添加字段

用于输入数据的编解码器。输入编解码器是一种方便的方法，可以在数据进入输入之前对其进行解码，而无需在 Logstash 管道中使用单独的过滤器。

禁用或启用此特定插件实例的指标记录，默认情况下，我们会记录所有可以记录的指标，但是您可以禁用特定插件的指标收集。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时（例如，如果您有 2 个 syslog 输入），此方法特别有用。在这种情况下添加命名 ID 将有助于在使用监视 API 时监视 Logstash。

input {
  syslog {
    id => "my_plugin_id"
  }
}

向您的事件添加任意数量的标签。

这有助于以后的处理。

向此输入处理的所有事件添加 type 字段。

类型主要用于过滤器激活。

该类型存储为事件本身的一部分，因此您也可以使用该类型在 Kibana 中搜索它。

如果您尝试在已经具有类型的事件上设置类型（例如，当您将事件从发货人发送到索引器时），则新的输入将不会覆盖现有类型。在发货人处设置的类型在该事件的生命周期内都会保留，即使发送到另一台 Logstash 服务器也是如此。