ELK一次错误日志弄到一行

示例:(只看红色部分即可)

input {

        file {
                        path => ["/opt/logs/normal.log"]
                        start_position => "beginning"
                        type => "normal"
        }
        file {
                path => ["/opt/logs/error.log"]
                start_position => "beginning"
                type => "error"

                codec=>multiline  {
                        pattern => "^%{TIMESTAMP_ISO8601}"
                        negate => true
                        what => previous
                }
        }

}

output {

        if [type] == "hr-yg-error" {
                elasticsearch {
                        hosts => ["192.168.168.121:9200"]
                        index => "error-%{+YYYY-MM}"
                        codec => rubydebug
                }
        }
        if [type] == "hr-yg-normal" {
                elasticsearch {
                        hosts => ["192.168.168.121:9200"]
                        index => "normal-%{+YYYY-MM}"
                        codec => rubydebug
                }
        }
}