logstash-grok使用非message字段

Question

我正在使用Logstash转发器从远程服务器接收Log4j生成的日志文件。log事件的字段包括一个名为“file”的字段，格式为/tomcat/logs/app.log、/tomcat/logs/app.log.1等。当然，文件路径/tomcat/logs位于远程计算机上，我希望Logstash仅使用文件名而不使用远程文件路径在本地文件系统上创建文件。

Logstash配置-我用什么来编写过滤器部分？

input {
    lumberjack {
      port => 48080
      ssl_certificate => "/tools/LogStash/logstash-1.4.2/ssl/logstash.crt"
      ssl_key => "/tools/LogStash/logstash-1.4.2/ssl/logstash.key"
    }
}

filter{

}

output {

    file{
        #message_format => "%{message}"
        flush_interval => 0
        path => "/tmp/%{host}.%{type}.%{filename}"
        max_size => "4M"
    }
}

Answer 1

计算出模式如下：

grok{
    match => [ "file",  "^(/.*/)(?<filename>(.*))$" ]
}

谢谢你的帮助！