Logstashのfilterプラグインの使い方

概要

この記事では、Logstashのfilterプラグインの使用例を記載します。

Key-Valueを扱う

kvプラグインを使用して、Key-Value形式の内容をパースします。

デフォルトでは、XXX=YYYの、=がデフォルトでパースされます。(=を別の文字に変えたい場合は、設定にて変更)

設定ファイル

input{
    stdin{}
}

filter {
  kv { }
}

output{
    stdout{ codec => rubydebug }
}

表示例

>> ipaddress=192.168.0.1
{
          "host" => "XXXXXX",
      "@version" => "1",
     "ipaddress" => "192.168.0.1\r",
    "@timestamp" => 2020-08-10T14:04:34.631Z,
       "message" => "ipaddress=192.168.0.1\r"
}

複数のfilterプラグインを指定する

複数のfilterプラグインを指定して実行してみます。

truncateのadd_fieldでxを追加し、同じくtruncateでyを追加しています。

設定ファイル

input{
    stdin{}
}

filter {
  truncate {
   length_bytes => 100
    add_field => { "x" => "added x." }
  }
  truncate {
   length_bytes => 100
    add_field => { "y" => "added y." }
  }
}

output{
    stdout{ codec => rubydebug }
}

表示例

{
             "x" => "added x.",
          "host" => "XXXXXX",
      "@version" => "1",
             "y" => "added y.",
    "@timestamp" => 2020-08-10T13:50:01.431Z,
       "message" => "nnnn\r"
}