无法查看索引中的日志

Question

我创建了两个 mutate 过滤器，一个用于获取所有 /var/log/messages 以键入 > security，另一个 mutate 过滤器用于从一种主机获取所有日志以键入 > host_type。 我无法在 host_type 索引中看到 /var/log/messages。

这是我正在使用的过滤器代码，请帮助我了解这里发生了什么。为什么我无法在我的 apihost 索引中看到 /var/log/messages？ 我在主机上设置了 filebeat 以将日志发送到 logstash。

filter {
if [source] =~ //var/log/(secure|syslog|auth.log|messages|kern.log)$/ {
mutate {
replace => { "type" => "security" }
}
}
}

filter-apihost.conf
filter {
if (([host.name] =~ /(?i)apihost-/) or ([host] =~ /(?i)apihost-/)) {
mutate {
replace => { "type" => "apihost" }
}
}
}

Answer 1

实际上，我通过将克隆过滤器添加到我的 logstash 配置来解决了这个问题。