filebeat 多行合并

Java 异常对行打印采集到elk 成为多行，修改配置可以采集成一行数据。

vim /usr/local/filebeat/filebeat.yml

multiline:

        pattern: '^\d{4}(\-|\/|.)\d{1,2}\1\d{1,2}'

        negate: true

        match: after

配置说明：

不以时间格式开头的行都合并到上一行的末尾；
pattern：正则表达式
negate：true 或 false；默认是false，匹配pattern的行合并到上一行；true，不匹配pattern的行合并到上一行
match：after 或 before，合并到上一行的末尾或开头
还有更多两个配置，默认也是注释的，没特殊要求可以不管它
max_lines: 500   max_lines：合并最大行，默认500
timeout: 5s  timeout：一次合并事件的超时时间，默认5s