Filebeat 发送整个日志文件答案

【问题标题】：Filebeat To Send Entire Log FilesFilebeat 发送整个日志文件
【发布时间】：2020-02-03 20:08:37
【问题描述】：

所以我试图让 filebeat 将整个日志文件作为一个事件而不是每一行作为一个事件发送，但它不起作用，这是我的 filebeat 设置：

  multiline.pattern: ^\[
   multiline.negate: true
   multiline.match: after

这是我拥有的日志文件的示例：

2020-02-03 16:03:25,038 INFO Initial blacklisted packages: 
2020-02-03 16:03:25,039 INFO Initial whitelisted packages: 
2020-02-03 16:03:25,039 INFO Starting unattended upgrades script

但是 filebeat 将每一行作为一个事件发送，我需要将整个事件作为一个事件而不是单独发送。

知道我在这里做错了什么吗？

提前感谢您的帮助！

【问题讨论】：

^\[ 与此日志中的任何内容都不匹配，因此我认为您的多行规则不会在任何地方生效。另外，您实际上想做什么？您正在尝试滥用 Filebeat 来做一些并非真正适合它的事情，因此可能会有更好的整体方法。

标签： elastic-stack filebeat elk elasticsearch-opendistro

【解决方案1】：

您可能实际上并不想将整个日志作为一个事件（一条记录）发送，这没有多大意义。如果您只想上传整个文件，请检查 logstash file 输入（不是 filebeat）。它可以为您做到。

您的 multiline.pattern（将文本拆分为事件）可能类似于 ^[0-9]{4}-[0-9]{2}-[0-9]{2}。

【讨论】：