Logstash應該只記錄grok解析的消息

Question

目前我有一個ELK堆棧，其中日誌由filebeat提供，並且在logstash中的一些過濾器之後，它被轉發到ES。由於有很多服務器和日誌，巨大的日誌會進入logstash，但我已經配置了篩選器以僅處理特定類型的日誌消息。它運行的很好，但是甚至沒有匹配的日誌都記錄在logstash.log文件中。正如我前面提到的那樣，巨大的日誌即將到來，logstash.log文件的大小很快會達到很高的值，並且會出現空間問題。如何配置logstash，以便僅記錄處理的日誌，而不是全部。

Answer 1

您可以使用logrotate每日自動旋轉或一旦達到特定閾值。然後，您可以將旋轉次數設置爲1或2.這樣可以讓您有時間查看文件的內容，以便在需要排除故障時進行清除，但在創建空間爭用之前清除。