добавить пользовательское сопоставление для elasticsearch в logstash

Question

Я использую logstash для ввода моих журналов в elasticsearch. Каждый день, это создать новый индекс

вот мой выходной частью моего logstash конфигурационного файла

output { 
    stdout { codec => rubydebug } 
    elasticsearch { 
     hosts => ["127.0.0.1"] 
     index => "logstash-%{+YYYY.MM.dd}" 
    } 
} 

Я хочу некоторые поля должны быть не проанализированы. Но каждый раз, когда создается новый индекс, создается новое сопоставление и анализируются все поля. Как я могу заставить elasticsearch использовать конкретное отображение каждый раз, когда создается новый индекс?

Answer 1

Вы можете сделать это путем присвоения шаблонов и управления ими, например, мою конфигурацию:

elasticsearch { 
      hosts => ["localhost:9200"] 
      index => "XXX-%{+YYYY.ww}" 
      template => "/opt/logstash/templates/XXX.json" 
      template_name => "XXX" 
      manage_template => true 
} 

Я считаю, что моя конфигурация может быть немного устарели, так как мы, к сожалению, на старой версии logstash .. . Поэтому было бы полезно прочитать об этом в документах: https://www.elastic.co/guide/en/logstash/current/plugins-outputs-elasticsearch.html

Это, безусловно, возможно в логсташе.

Артур

Answer 2

Вы можете использовать шаблон индекса ES, который затем будет использоваться при создании индекса: https://www.elastic.co/guide/en/elasticsearch/reference/2.4/indices-templates.html.

В вашем случае шаблон будет выглядеть следующим образом:

{ 
    "template": "logstash-*", 
    "mappings": { 
    "_default_": { 
     ... 
    } 
    } 
}