Bonjour,
Je viens de faire la migration de Filebeat 5.6 vers Filebeat 6.5.
Filebeat 6.5 propose des modules system et apache2 (et d'autres mais je n'utilise que ces deux-là), ce qui simplifie la configuration.
Je ne pense pas que ce soit lié aux modules mais la configuration de Logstash présenté dans les guides se rapporte toujours à Filebeat 5.x !
Serait-il possible de faire une mise à jour parce que certains noms de champ ont changé (plus de champs type, le champ source est un objet - au lieu d'une chaîne de caractères précédemment, ...) ?
Merci d'avance.
Ma configuration Logstash filters actuelle en 5.6 :
mutate {
rename => {
"source" => "filename"
}
}
if [type] == "apache-access" {
grok {
match => { "message" => "%{OVHCOMMONAPACHELOG}" }
patterns_dir => "/opt/logstash/patterns"
}
if ("_grokparsefailure" in [tags]) {
mutate {
remove_tag => [ "_grokparsefailure" ]
}
grok {
match => [ "message", "%{OVHCOMBINEDAPACHELOG}" ]
patterns_dir => "/opt/logstash/patterns"
named_captures_only => true
}
}
date {
match => [ "timestamp", "dd/MMM/YYYY:HH:mm:ss Z" ]
target => "timestamp"
}
}
if [type] == "apache-error" {
grok {
break_on_match => true
match => { "message" => [ "%{OVHHTTPD_ERRORLOG_REFERRER}", "%{OVHHTTPD_ERRORLOG}" ] }
patterns_dir => "/opt/logstash/patterns"
}
mutate {
add_field => {
"full_message" => "%{message}"
}
}
mutate {
rename => {
"errormsg" => "message"
}
}
date {
match => [ "timestamp", "E MMM dd HH:mm:ss YYYY" ]
target => "timestamp"
timezone => "Europe/Brussels"
}
if ("_dateparsefailure" in [tags]) {
mutate {
remove_tag => [ "_dateparsefailure" ]
}
date {
match => [ "timestamp", "E MMM dd HH:mm:ss.SSSSSS YYYY" ]
target => "timestamp"
timezone => "Europe/Brussels"
}
}
}
if [type] == "syslog" {
grok {
match => { "message" => "%{SYSLOGBASE}" }
}
date {
match => [ "timestamp", "MMM dd HH:mm:ss" ]
target => "timestamp"
}
}