Filebeat新手入门（二）多行合并

最新推荐文章于 2024-05-02 19:28:17 发布

若木-沧海

最新推荐文章于 2024-05-02 19:28:17 发布

阅读量2.8k

点赞数

文章标签： devops elasticsearch 系统安全

本文链接：https://blog.csdn.net/kele5589/article/details/124670329

版权

Filebeat新手入门（二）多行合并

一。文章以filebeat7.6.2 为例

二。多行合并简单用法
filebeat.inputs:
- type: log
paths:
- /root/jn/zzz/*.log
fields:
name: linkedsee-ls_407d9eebf237464698a50c4ddf30bdf1
# 多行合并
multiline.type: pattern
multiline.pattern: ‘[0-9]{4}-[0-9]{2}-[0-9]{2}’
multiline.negate: true
multiline.match: after
三。用法解析

  multiline.type: pattern   这一行 不用修改  直接 copy
  multiline.pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'     /**/这一行是重点**
  
  a。‘^XXXXXX’
          ^  表示以某一固定格式的字符串开头的 数据，
          正则表达式前 不加 ^ ，表示在日志数据中 含有 特定格式的字符串
         ![Flink日志](https://img-blog.csdnimg.cn/d98e2c140d104d7e9451494aecd8f234.png)
      这里以flink日志为例
         ![在这里插入图片描述](https://img-blog.csdnimg.cn/1ea32e8ade5d4d88b96b4aac8fde2be8.png)
     日志以日期的固定格式开头
     我们可以这样写 
      multiline.pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
 b。'xxxxxxxx'    如果没有固定的格式作为开头&#x