ELK Stack——Logstash if判断与多索引创建

input{
  file{
    path=> "/usr/local/elasticsearch-2.3.2/logs/elasticsearch.log.*"
    type=> "elasticsearch"
    start_position=> "beginning"
  }
  
  file{
    path=> "/var/log/secure"
    type=> "secure"
    start_position=> "beginning"
  }
}

output{
  if [type] == "elasticsearch" {  
    elasticsearch {
    hosts=> ["192.168.44.129:9200"]
    index=> "elasticsearch-%{+YYYY-MM}"
    }
  }
  if [type] == "secure" {  
    elasticsearch {
    hosts=> ["192.168.44.129:9200"]
    index=> "secure-%{+YYYY-MM}"
    }
  }
}

上面的配置文件中用到的if条件判断是为了避免多个input的数据提交到Elasticsearch后共存于一个索引中。使用index参数来为每个不同的type建立单独的索引。运行Logstash后通过head插件查看下，可以看到新建立的索引名字

然后进入Kibana的设置界面增加索引信息，在第二个红框处输入之前logstash.conf文件中index参数所配置的名字，然后可以看到第三个红框处会自动匹配出来相关文件，最后点击create创建即可。

返回到Kibana的主界面，可以在左侧看到新创建出来的索引数据，可以在日志文件里随便加点东西，然后通过Kibana全文搜索也可以立即查看到，非常方便