生成filebeat自定义字段

Question

我有一个弹性搜索集群(ELK)和一些节点使用filebeat将日志发送到logstash.我环境中的所有服务器都是CentOS 6.5.

每个服务器中的filebeat.yml文件由Puppet模块强制执行(我的生产和测试服务器都具有相同的配置).

我想在每个文档中都有一个字段,告诉它是否来自生产/测试服务器.

我想在每个文档中生成一个动态自定义字段,用于指示使用filebeat.yml文件的环境(生产/测试).

为了解决这个问题,我想运行一个返回环境的命令(可以通过facter知道环境)并将它添加到filebeat.yml文件中的"环境"自定义字段下但我找不到任何这样做的方式.

是否可以通过filebeat.yml运行命令？有没有其他方法可以实现我的目标？

Answer 1

在你的filebeat.yml中:

filebeat:
  prospectors:
    -
      paths:
        - /path/to/my/folder
      input_type: log

      # Optional additional fields. These field can be freely picked
      # to add additional information to the crawled log files
      fields:
        mycustomvar: production