Изменение шаблона по умолчанию asticsearch в logstash 5.x

Question

Я настроил Elastic Stack 5.3 для агрегирования журналов с нескольких серверов, причем Filebeat на каждом из серверов очищает журналы и отправляет их в централизованные Logstash, Elasticsearch и Kibana.

Я настроил свою конфигурацию Logstash для извлечения некоторых пользовательских строковых полей, но я хочу изменить шаблон индекса, чтобы изменить их тип с "текст" на "ключевое слово". Я нашел директивы конфигурации для указания моего собственного шаблона, но где я могу найти шаблон по умолчанию в Logstash, чтобы я мог использовать его в качестве отправной точки? Я искал в /etc/logstash и /usr/share/logstash (я установил ванильный Logstash 5.3 RPM на RHEL 7), но ничего не смог найти.

Любой хороший пример того, как создать нестандартный шаблон индекса в logstash 5.x, был бы очень полезен; большинство примеров, которые я нашел, предшествовали Beats и новым типам строк в 5.x. Документация оставляет желать лучшего.

Answer 1

Стандартный шаблон индекса asticsearch можно найти в logstash-output-elasticsearch хранилище плагинов по адресу https://github.com/logstash-plugins/logstash-output-elasticsearch/tree/master/lib/logstash/outputs/elasticsearch

Там вы найдете различные шаблоны для ES 2.x, 5.x и 6.x, и тот, который вы ищете, вероятно, 5.x.