“Tail” uma consulta do servidor logstash

Question

Supondo que eu tenha um servidor logstash repleto de logs sendo carregados regularmente, existe uma maneira razoavelmente elegante que eu possa seguir os resultados de uma consulta continuamente em execução no servidor logstash e mostrar isso em uma janela de terminal

por exemplo

some-special-logstash-command.sh | egrep -v "(searchword1|searchword2)"

a ideia é que o comando canaliza coisas para fora do logstash e para minha consulta grep que filtra e mostra a saída filtrada para.

.. claro, se houver um comando logstash que também possa fazer a parte do grep para mim, então isso também funciona:)

motivação para fazer isso, é que, supondo que todos os meus eventos da minha propriedade estejam sendo carregados no logstash, seria bom ter uma janela de terminal com uma sequência contínua de eventos interessantes à medida que eles acontecem passando pela tela.

-Ace

    

Answer 1

Inclua a configuração no seu coletor logstash para fazer o trabalho grep e produzir para stdout . Este é um exemplo usando uma entrada file :

input {
  file {
    add_field => ... # hash (optional), default: {}
    codec => ... # codec (optional), default: "plain"
    discover_interval => ... # number (optional), default: 15
    exclude => ... # array (optional)
    path => ... # array (required)
    sincedb_path => ... # string (optional)
    sincedb_write_interval => ... # number (optional), default: 15
    start_position => ... # string, one of ["beginning", "end"] (optional), default: "end"
    stat_interval => ... # number (optional), default: 1
    tags => ... # array (optional)
    type => ... # string (optional)
  }
}
filter {
  grep {
    add_field => ... # hash (optional), default: {}
    add_tag => ... # array (optional), default: []
    drop => ... # boolean (optional), default: true
    ignore_case => ... # boolean (optional), default: false
    match => ... # hash (optional), default: {}
    negate => ... # boolean (optional), default: false
    remove_field => ... # array (optional), default: []
    remove_tag => ... # array (optional), default: []
  }
}
output {
  stdout {}
}