ELK之使用filebeat的多行过滤插件把多行合并成一行

　　java运行日志一般有多行，格式类似如下

　　格式为：日期 + 日志级别 + 日志信息 有些日志是多行的，需要使用filebeat多行插件把多行合并成一行

　　未使用多行插件的日志格式

　　修改filebeat配置文件/etc/filebeat/filebeat.yml 在原来基础上面添加多行合并配置

?

1 2 3 4

multiline:     pattern: '^\d{4}-\d{1,2}-\d{1,2}\s\d{1,2}:\d{1,2}:\d{1,2}'     negate: true     match: after

• pattern：正则表达式，匹配日志格式
• negate：默认为false，暗示匹配pattern的行归并到上一行；true暗示不匹配pattern的行归并到上一行
• match：after暗示归并到上一行的末端，before暗示归并到上一行的行首

　　重启filebeat

?

1	systemctl restart filebeat

　　收集的日志格式为（多行已经合并）

　　如果在页面显示不全可以单击此处