Logstash应该只记录grok解析的消息

Question

目前我有一个ELK堆栈，其中日志由filebeat提供，并且在logstash中的一些过滤器之后，它被转发到ES。由于有很多服务器和日志，巨大的日志会进入logstash，但我已经配置了筛选器以仅处理特定类型的日志消息。它运行的很好，但是甚至没有匹配的日志都记录在logstash.log文件中。正如我前面提到的那样，巨大的日志即将到来，logstash.log文件的大小很快会达到很高的值，并且会出现空间问题。如何配置logstash，以便仅记录处理的日志，而不是全部。

Answer 1

您可以使用logrotate每日自动旋转或一旦达到特定阈值。然后，您可以将旋转次数设置为1或2.这样可以让您有时间查看文件的内容，以便在需要排除故障时进行清除，但在创建空间争用之前清除。