[Logstash] hoe json van http_poller splitten?

[Paxlie]

Ik ben hier nu al een tijdje mee bezig maar ik kom er niet helemaal uit. Misschien zijn er nog knappe koppen hier die mij verder kunnen helpen.
Er is hier een ELK stack. Daarnaast draaien de applicaties in Tomcat en met behulp van logback/slf4j komen daar prachtige logfiles uit die netjes in json format zijn.

Als ik zelf iets kon installeren op die machines dan was het een eitje geweest om de log naar Kibana / Elastic Search te krijgen. Dat is echter door security redenen niet toegestaan. Om die reden is er nu een server die niet veel te doen heeft bijgeprikt als Logstash shipper.

Voor de input maak ik gebruik van de plugin http_poller. Die haalt dan de log op, voegt er een paar velden aan toe en stuurt het dan door. Ook is er nog een filter die de applicatienaam en de omgeving erbij zet zodat we daar op kunnen zoeken. De http_poller zorgt er echter voor dat er maar 1 logregel in Kibana komt per keer dat er gepolld wordt. Om die reden wilde ik de logfile weer gaan splitten in een filter, maar die heeft een target nodig om te gaan splitten. Alleen de hele log is de json, er is dus geen begin aan te duiden.

Heeft iemand hier nog tips voor? Ik had al een aantal blogs gevonden die dit ook ongeveer doen/proberen maar hun voorbeelden zijn gebaseerd op xml waarbij ze het rootelement pakken. Een rootelement wat ik niet heb.

[johnkeates]

Is misschien een wat viezere oplossing, maar kan je niet de logs op een andere manier ophalen en verwerken en daarna naar logstash pompen? Bijvoorbeeld met een json-to-xml converter. Cronjob er bij, en lokaal door logstash als file input gebruiken.

[Paxlie]

Aan zoiets zat ik idd ook te denken. Een andere service die gewoon de log ophaalt en neergooit op een lokatie waar Logstash wel bij kan. Vervolgens dat als file input gebruiken. Dat werkte namelijk altijd als een zonnetje. Ik baal er ook vooral van dat alle logevents op een grote hoop worden gemikt door de huidige configuratie en alleen het laatste statement in Kibana verschijnt.

Ik heb het idee dat het splitsen van de log ergens mis gaat. Een andere optie is om samen met de server beheerders de hele logging om te gooien en alles ergens op een share uit te laten komen die benaderbaar is door de servers en door de Logstash shipper. Er zijn zoveel mogelijkheden, maar die kosten allemaal vrij veel doorlooptijd en ik heb daar heel veel hulp bij nodig van andere mensen die eigenlijk al te weinig tijd hebben