logstash - 来自多个源的 Logstash 日志处理

Question

我是麋鹿栈的新手。让我解释一下我想要做什么。我有一个为不同用户单独运行的应用程序，即 5 个不同的用户将拥有同一应用程序的 5 个独立实例。我正在使用filebeats将日志从应用程序发送到logstash，在发送到elasticsearch之前首先对其进行处理。我想要的是编写应用程序，使用户只能查看他们的应用程序实例的日志。现在我试图做的是为每个具有不同端口的用户创建logstash管道，该管道将处理日志并将其发送到具有不同索引名称的elasticsearch。如果这是最佳做法还是我做错了，你能建议我吗？有没有更好的方法来做到这一点，而无需为具有单独端口的个人用户提供单独的管道？我认为我这样做的方式是错误的，当实例数量增加时，我将更难管理。

谢谢你

标签： logstashelastic-stacklogstash-configurationfilebeat

Answer 1

我建议如果不涉及皮肤、验证和丰富，那么完全跳过logstash。您可以直接将 filebeat 日志传递给 ES。现在有两种方法。Filebeat 还可以将参数（任何固定字符串）与扫描的消息一起发送到 ES，或者您可以存储 filebeat 将与消息一起发送的元（如 ip）源。然后，此字符串可用于识别日志消息的来源，然后在 kibana 上，您可以配置为根据该固定字符串/用户/元显示仪表板。这很简单，避免了不必要的跳跃。