Modifier le template elasticsearch par défaut dans logstash 5.x

Question

J'ai configuré Elastic Stack 5.3 pour agréger les logs d'un tas de serveurs, avec Filebeat dans chacun des serveurs raclant les logs et les envoyant à un Logstash centralisé, Elasticsearch et Kibana.

J'ai configuré ma configuration Logstash pour extraire des champs de chaîne personnalisés mais je souhaite changer le modèle d'index pour changer leur type de "texte" en "mot-clé". J'ai trouvé les directives de configuration pour spécifier mon propre modèle, mais où puis-je trouver le modèle par défaut de Logstash pour que je puisse l'utiliser comme point de départ? J'ai recherché sous/etc/logstash et/usr/share/logstash (j'ai installé un RPM Logstash 5.3 sur RHEL 7) mais je n'ai rien trouvé.

Tout bon exemple de création d'un modèle d'index non standard sur logstash 5.x serait très pratique; la plupart des exemples que j'ai trouvés sont antérieurs à Beats et les nouveaux types de chaînes dans 5.x. La documentation laisse à désirer.

Answer 1

Le modèle par défaut d'index de ElasticSearch se trouve dans le référentiel de plug-in logstash-output-elasticsearch à https://github.com/logstash-plugins/logstash-output-elasticsearch/tree/master/lib/logstash/outputs/elasticsearch

Vous trouverez différents modèles là-bas, pour ES 2.x, 5.x et 6.x, celui que vous » re recherche est probablement the 5.x one.