前言

logstash 使用的是最新的2.3版本，此模板仅为参考，一切以官方文档为准

https://www.elastic.co/guide/en/logstash

input模块接收log4j类型日志

input {

log4j {

type => "log4j-json"

port=>12201

}

}

filter模块深入json化message内容

filter{

json {

source => "message"

}

}

output模块输出到es

output {

stdout{codec => rubydebug }

elasticsearch { hosts => ["sz-a-qhfaxes01-es-hw.qhfax.com"]

index => "dev-qhfaxweb-master-logs-%{+YYYY.MM.dd}"

document_type => "%{class}"

}

}

%{class}：class为消息源中json的key值，使用%{}模板可以将变化的key带入logstash模板中，使_type的值为数据class的值。