用于 tomcat 日志的 Logstash GROK 过滤器答案

【问题标题】：Logstash GROK filter for tomcat logs用于 tomcat 日志的 Logstash GROK 过滤器
【发布时间】：2018-03-16 09:16:11
【问题描述】：

我是 elk 新手，我需要能够从 tomcat 日志中找到“transactionid 以下值并创建单独字段”的模式

示例日志如下...

2018-03-14 10:58:36,853 INFO so:165 - Female Value : 0.084370888769626617 for transactionId ABCsdf62969
2018-03-14 10:58:36,853 INFO so:165 - White Value : 0.90355902910232544 for transactionId ABtgF62969
2018-03-14 10:58:36,853 INFO so:165 - Black Value : 0.001742142834700644 for transactionId ZBCBfg2969
2018-03-14 10:58:36,853 INFO so:165 - Asian Value : 0.0055485325865447521 for transactionId TBCBF62969
2018-03-14 10:58:36,853 INFO so:165 - Hispanic Value : 0.079676181077957153 for transactionId L45BF62969
2018-03-14 10:58:36,853 INFO so:165 - Other Value : 0.0094741648063063622 for transactionId A56BF62969

【问题讨论】：

标签： elasticsearch filter logstash elastic-stack logstash-grok

【解决方案1】：

这不是一个问答网站，您可以在其中提出问题而无需尝试。至少先尝试，然后再提出错误。

我认为您是这个平台的新手。这次我会给你一些模式，但请先尝试理解它，然后再自己研究未来的模式。

对于您的情况，这将起作用：

  grok {
     match => ["message", "%{TIMESTAMP_ISO8601:time} %{LOGLEVEL:log_level} %{GREEDYDATA:some_data} transactionId %{WORD:transaction_id}"]
  }

努力工作。谢谢！！

【讨论】：

感谢@Ashif 的快速回复，我尝试了下面的正则表达式但没有用 filter { grok { match => { "message" => {%{TIMESTAMP_ISO8601:time} %{LOGLEVEL:log_level} %{GREEDYDATA:some_data} transactionId %{WORD:transaction_id}} }