Logstash -filebeat 6.5 多行日志合并

日志内容：

authenticatorClient:         <82fa722c1abd2ee6effd39ac954f3927>
 loginMode:                   <2>
 timestamp:                   <509110741>
 version:                     <48>
2020-05-09 11:07:41.200 |INFO | SENT: 
 status:                <30>
 authenticatorServer:   <1f555a3d244ba1eaab8030cb668f592b>
 version:               <48>

一条日志多行出现的情况下 logstash默认过滤分成多条传输

到es显示的时候就是几条日志对于日常查询分析带来不便

解决方法：

filter 插件的multiline 可以通过正则完美解决

Logstash 5 以上默认 没有filter-multiline 插件了 如要另行安装

# ./bin/logstash-plugin install logstash-filter-multiline

安装好后 配置文件filter部分中增加如下内容

filter {
    ......
    multiline {
              pattern => "^%{TIMESTAMP_ISO8601} "  ## 已日期格式为开头的匹配
              negate => true                       ## 正则匹配成功
              what => "previous"                   ## 对下一个匹配出现前的