Logstash分离模式

Question

我们为Application Server的每个日志创建了不同的模式。所有的模式都很好。但是我们想要包含一个静态的JSON值来表示这个JSON对象来自一个模式。有什么办法可以使用日志存储模式来实现这一点。

Answer 1

您可以使用grok过滤器中的add_field setting添加另一个任意字段。

filter { 
    if [type] == "type1" { 
    grok { 
     match => { "message" => "pattern1" } 
     add_field => { "static" => "static value 1" } 
    } 
    } else { 
    grok { 
     match => { "message" => "pattern2" } 
     add_field => { "static" => "static value 2" } 
    } 
    } 
}