1. 运行原理
pipeline 事件处理有三个阶段:输入→过滤器→输出。
输入生成事件,过滤器修改事件,输出将事件发送到其他地方。
输入和输出支持编解码器,可以在数据进入或退出管道时对数据进行编码或解码,而无需使用单独的过滤器。
Inputs:
file on the filesystem
syslog
redis
beats
Filters:
grok: 解析和构造任意文本。Grok目前是Logstash中将非结构化日志数据解析为可查询的结构化数据的最佳方法。Logstash内置了120个模式
mutate: 对事件字段执行一般转换。您可以重命名、删除、替换和修改事件中的字段。
drop: 完全删除事件,例如调试事件
clone: 复制事件,可能添加或删除字段。