Remember: if a new user has a bad time, it's a bug in logstash.
https://kibana.logstash.es/content/logstash/
每位系統(tǒng)管理員都肯定寫過很多類似這樣的命令：cat randdata | awk '{print $2}' | sort | uniq -c | tee sortdata匣屡。這個(gè)管道符|可以算是 Linux 世界最偉大的發(fā)明之一(另一個(gè)是“一切皆文件”)封救。
Logstash 就像管道符一樣！
你輸入(就像命令行的cat)數(shù)據(jù)捣作，然后處理過濾(就像awk或者uniq之類)數(shù)據(jù)兴泥，最后輸出(就像tee)到其他地方。
當(dāng)然實(shí)際上虾宇，Logstash 是用不同的線程來實(shí)現(xiàn)這些的搓彻。如果你運(yùn)行top命令然后按下H鍵，你就可以看到下面這樣的輸出：
嘱朽。旭贬。。
數(shù)據(jù)在線程之間以事件的形式流傳搪泳。不要叫行稀轨，因?yàn)?logstash 可以處理多行事件。
Logstash 會(huì)給事件添加一些額外信息岸军。最重要的就是@timestamp奋刽，用來標(biāo)記事件的發(fā)生時(shí)間。
