Logstash должен регистрировать только анализируемые сообщения grok

Question

В настоящее время у меня есть стек ELK, в котором журналы отправляются файловым битом, а после некоторых фильтров в logstash он отправляется в ES. Поскольку в сервере много журналов и журналов, логсташь идет огромными журналами, но я настроил фильтр для обработки только определенного типа сообщения журнала. Что это делает хорошо, но журналы, которые даже не совпадают, регистрируются в файле logstash.log. Как я уже упоминал ранее, приходят огромные журналы, размер файла logstash.log скоро достигает высокой ценности, и возникает проблема с пространством. Как настроить логсташ, чтобы я регистрировал только обработанные журналы, а не все.

Answer 1

Вы можете использовать логротат для автоматического поворота либо ежедневно, либо как только он достигнет определенного порога. Затем вы можете установить число оборотов 1 или 2. Это позволит вам увидеть, что происходит с файлом, если вам нужно устранить неполадки, но очистить до того, как он создаст конфликт пространства.