logstash grok切割日志

elk

是你的鱼尾纹

685人浏览 · 2023-12-08 19:18:22

是你的鱼尾纹 · 2023-12-08 19:18:22 发布

例如日志以！做为分割

2023-12-07 10:50:09|xxxx|xxxx|xxxxx|

Grok Pattern

%{DATA:logtime}\|%{DATA:serId}\|%{DATA:comId}\|%{DATA:id_type}\|%{DATA:rs_code}\|%{DATA:re_name}\|%{DATA:scert_1}\|%{DATA:scert_2}\|%{DATA:costtime}\|

logsatsh.conf

grok {
         match => {"message" => "%{DATA:logtime}\|%{DATA:serId}\|%{DATA:comId}\|%{DATA:id_type}\|%{DATA:rs_code}\|%{DATA:re_name}\|%{DATA:scert_1}\|%{DATA:scert_2}\|%{DATA:costtime}\|"}
   }
       mutate {
         convert => ["costtime", "float"]  #修改timeCost字段类型为整型