将字段值附加到 Filebeat 处理的每个日志消息

Question

我有一个用例，我想在每个由 filebeat 处理的日志消息中附加一个字段。该值将基于 filebeat 读取的日志类型。

例如，假设我有 3 种日志类型：typeA、typeB、typeC。当 filebeat 识别到日志类型 A 的更新时，它会在输出消息之前为每条消息附加一个 typeA 值。

我配置了基本 filebeat.yml 和 运行，但我不知道如何将数据附加到每条消息。

感谢任何见解。谢谢

Answer 1

查看 filebeat 文档下的 "Common Options" 文件输入。他们是一个向您的消息添加字段的选项：https://www.elastic.co/guide/en/beats/filebeat/current/filebeat-input-log.html#filebeat-input-log-fields

这是一个示例片段：

filebeat.inputs:
- type: log
  path: /path_to_your_typeA
  fields:
    name_of_your_additional_field: typeA

如果您不想沉迷于 key/val 选项，您也可以使用 "tags" 代替字段。