logstash - 在 Logstash 上访问自定义 Filebeat 标签

Question

我是 filebeat 和 logstash 的新手。想知道如何访问自定义字段，在logstash端使用filebeat插入。

示例文件节拍：

filebeat:
  # List of prospectors to fetch data.
  prospectors:
      paths:
        - /root/logstash/log/*.log
      input_type: log
      fields:
        samplevar: 1004
  logstash:
		hosts: ["172.31.1.162:5044"]

现在我如何访问logstash端的samplevar？

Logstash 配置

output{

	stdout{
			codec =>  line { format => "{\"Date\": \"%{date}\", \"PID\": \"%{PID}\", \"Description\": \"%{description}\", \"%{[fields][samplevar]}\"}"}
	}
}

但是 samplevar 没有返回任何值

Answer 1

根据 filebeat docs添加的 自定义字段将是该字段的子fields字段。

要在 Logstash 中访问它，您将使用%{[fields][samplevar]}.

%{samplevar}将 Filebeat 添加的字段存储在根目录中，允许 Logstash 像使用filebeat 设置一样访问它们fields_under_root: true