logstash - ELK 读取和存储 log4j 日志

Question

我们有大约 50 台服务器，我们可以从中获取 log4j 日志。这些 log4j 写入的文件夹，我们已经安装到我们有 Logstash 的机器上，它将这些日志推送到 Elasticsearch。它在 Elasticsearch 中创建一个名为 logstash-2018.06.25 的索引，它将所有日志信息存储在此表中。现在我必须删除旧日志，我在互联网上读到用查询删除不是一个好方法，而是我们应该使用 CURATOR(Elasticsearch) 删除它。我读过策展人可以删除整个索引。如何配置我的 logstash 以便它根据日期创建索引。

所以它将根据天数创建一个索引/表。因此，2018 年 6 月 25 日索引将在 2018 年 6 月 25 日创建。2018 年 6 月 26 日的相似指数将于 2018 年 6 月 26 日创建。

这样我就可以在旧文件上删除索引，使用这种方法我可以更快地进行弹性搜索。

为此，如何配置我的 logstash 以便我可以实现这一点。

Answer 1

在 elasticsearch 输出插件中，您可以按如下方式配置索引名称：

output {
    elasticsearch {
        ...
        index => "logstash-%{+YYYY.MM.dd}"
        ...
    }
}