ELK：设置日志塔什ELK堆栈的多个http输入

Question

问题：

• 如何设置日志塔什ELK堆栈的多个http输入

我已经拥有的：

<李>工作麋鹿码头工人形象基于:https://github.com/deviantony/docker-elk < li >工作日志存储-输入-http-插件基于:https://www . elastic . co/blog/introducing-log stash-input-http-plugin < li >我的logstash.conf文件如下所示:

input {
  http {
        host => "0.0.0.0"
        port => "5000"
    }
}

output {
  elasticsearch {
      hosts => "elasticsearch:9200"
  }
}

• 我可以使用postman on URL轻松地发送我的组件日志（作为JSON）：http://localhost:5000这句话的意思是：

我需要什么：

< li >多个http输入，因为我有多个组件，类似于(但是第二个输入不监听请求):

input {
  http {
        host => "0.0.0.0"
        port => "5000"
  }
  http {
      host => "0.0.0.0"
      port => "7070"
  }
}

• 我必须区分基博纳中的那些组件

Answer 1

我已经解决了。

我需要在docker compose中添加一个端口。logstash:section中的yml文件如下：

ports:
  - "5000:5000"
  - "7070:7070"

还有

type => "A"

很好用。

Answer 2

您可以为每个输入设置一个类型并使用该类型生成索引名称：

input {
  http {
    host => "0.0.0.0"
    port => "5000"
    type => "A"
  }

  http {
    host => "0.0.0.0"
    port => "5001"
    type => "B"
  }
}

使用类型可能就足够了，因为您可以使用它来过滤记录。但是您可能还需要将每种类型的记录存储在不同的索引中，因为每种类型可能对同一字段使用不同的类型。这会导致映射冲突。

output {
  elasticsearch {
    hosts => "elasticsearch:9200"
    index => "%{[type]}-%{+YYYY.MM.dd}"
  }
}